La empresa estadounidense de verificación de identidad IDScan ha confirmado oficialmente que sufre una brecha de seguridad en la que los atacantes robaron los carnés de conducir almacenados en sus sistemas. La compañía, con sede en Luisiana, reconoce así por primera vez que fue hackeada, una semana después de que se difundiera un informe sobre el incidente. Según la propia empresa, los datos sustraídos incluyen nombres completos y números de carné de conducir, además de números de identidad de otros documentos oficiales, como los pasaportes.
El caso adquiere una dimensión considerable por el volumen de información afectado: IDScan señala en su web que custodia más de 150 millones de registros de carnés de conducir, un dato que sitúa la filtración entre las mayores de los últimos tiempos en el sector de la verificación de identidad. La noticia llega, además, en un momento en el que la confianza en los servicios que gestionan documentos personales se ha convertido en un asunto crítico tanto para empresas como para administraciones públicas.
Un aviso tardío y una investigación en curso
De acuerdo con la información publicada por TechCrunch, IDScan explica en el aviso colgado en su sitio web que recibió información sobre la reclamación de un ataque «alrededor del 1 de septiembre», la misma jornada en la que el periodista independiente de ciberseguridad Brian Krebs informó por primera vez de la brecha. La empresa había reconocido días antes que se encontraba investigando un incidente, pero todavía no había confirmado una intrusión. Ahora, según su comunicado, la investigación continúa abierta.
El aviso también apunta un detalle relevante sobre la naturaleza del ataque: IDScan afirma que «aunque el acceso completo a la información requería un pago» una referencia probable a una exigencia económica de los atacantes para desbloquear todo el contenido robado, la compañía decidió notificar a las personas potencialmente afectadas a través de su web. La firma no ha precisado el número exacto de individuos afectados y no respondió a las preguntas de TechCrunch, entre ellas si los hackers contactaron con la empresa con una demanda de rescate para evitar la publicación de los datos.
Qué se ha filtrado y quién está expuesto
Poco después de la publicación inicial de Krebs, el rastro del incidente llevó a un sitio en la dark web que permitía buscar los datos de carné de conducir de más de 150 millones de personas residentes en Estados Unidos y Canadá, incluidas sus fotografías, según recogió el periodista. Krebs verificó la autenticidad de la información examinando su propio registro, y señaló que la base de datos contenía también a figuras de alto perfil, como el secretario de Defensa de Estados Unidos, Pete Hegseth, así como a un investigador de seguridad que confirmó sus propios datos para el reportaje.
La dimensión del caso explica la reacción institucional. El Pentágono declaró a TechCrunch que tenía conocimiento de la presunta brecha, y un portavoz del FBI confirmó que el organismo también investigaba el incidente. Que un servicio utilizado para validar identidades haya visto comprometidos documentos de este tipo incluidos pasaportes eleva el riesgo de fraude, suplantación de identidad y accesos no autorizados, ya que los carnés de conducir funcionan como una de las pruebas de identidad más extendidas en Norteamérica.
Un eslabón crítico en la cadena de la identidad digital
IDScan no es una compañía conocida por el gran público, pero su papel es relevante: sus clientes corporativos van desde locales de ocio y entretenimiento hasta dispensarios de cannabis, y emplean sus herramientas para comprobar y verificar los documentos de identidad de sus usuarios. Es decir, la empresa actúa como un intermediario de confianza que acumula grandes volúmenes de datos sensibles de terceros, lo que la convierte en un objetivo especialmente atractivo para los ciberdelincuentes.
La filtración subraya una tendencia recurrente en el sector: los atacantes no solo buscan a grandes tecnológicas o bancos, sino también a proveedores especializados que concentran información personal en nombre de muchos clientes. Un único punto de fallo en esa cadena puede exponer a millones de personas que nunca tuvieron una relación directa con el proveedor vulnerado. El hecho de que el hackeo se haya descrito como prolongado durante un año agrava aún más la preocupación sobre cuánto tiempo estuvo la información expuesta y cuántos sistemas pudieron verse comprometidos.
Qué cabe esperar
La investigación de IDScan sigue abierta y, de momento, la compañía no ha ofrecido cifras concretas de afectados ni ha detallado si ha recibido una demanda de rescate. Será clave observar si la empresa amplía su comunicación con recomendaciones para los usuarios, si las autoridades estadounidenses con el FBI y el Pentágono ya implicados ofrecen más detalles sobre el alcance del ataque y si los datos filtrados acaban apareciendo o vendiéndose en foros del mercado negro.
Para los clientes corporativos de IDScan, el episodio plantea una pregunta incómoda sobre la seguridad de sus proveedores de verificación de identidad y sobre la necesidad de exigir garantías más estrictas. Para los ciudadanos afectados, la recomendación habitual ante filtraciones de documentación oficial pasa por vigilar posibles usos fraudulentos de sus datos y estar atentos a las comunicaciones oficiales de las autoridades. La evolución de este caso determinará hasta qué punto la brecha se convierte en uno de los incidentes de seguridad más significativos del año en el ámbito de la identidad digital.