IDScan, la empresa que escanea los carnets de identidad en locales de ocio, dispensarios de cannabis y concesionarios de coches de toda Norteamérica, confirmó el 10 de septiembre que sufrió una brecha que afecta a más de 153 millones de carnets de conducir de EE.UU. y Canadá. El hackeo duró aproximadamente un año antes de que nadie lo detectara.La historia la rompió Brian Krebs, periodista independiente de ciberseguridad, el 1 de septiembre. Krebs encontró un sitio en la web oscura llamado Nexus que ofrecía acceso a una base de datos de más de 153 millones de carnets de conducir y pasaportes. Verificó la autenticidad buscando su propio carnet —y lo encontró—. Nexus fue cerrado poco después de que Krebs publicara su informe. El sitio incluía también más de 10 millones de tarjetas de identidad, 3 millones de documentos de viaje y 579.000 tarjetas médicas.IDScan, con sede en Luisiana, opera en sectores como el entretenimiento, la hostelería, el cannabis (dispensarios en todo EE.UU.), el alquiler de coches y el retail. Sus clientes documentados incluyen Hertz, Target y Caesars Entertainment. El modelo de negocio es verificar la edad y la identidad de los clientes en el punto de servicio mediante el escaneo de sus documentos oficiales.¿Qué datos contiene la base de datos y por qué es especialmente grave?Más allá del nombre y el número de carnet, los registros de Nexus incluían escaneos frontales y traseros de los documentos, además de escaneos con luz infrarroja y ultravioleta. Las marcas de tiempo de los registros aparecían alineadas con eventos específicos de las personas afectadas: un viaje, un alquiler de coche, una visita a un dispensario.Esto hace que la brecha sea cualitativamente diferente de una filtración de contraseñas. Hemos comprobado en wwwhatsnew.com que el decreto Trump que autoriza contraataques cibernéticos a empresas privadas revela que el gobierno reconoce que la defensa estatal sola no es suficiente. Un carnet de conducir con escaneo infrarrojo es una identidad de segunda generación: no solo para abrir una cuenta bancaria, sino para engañar los sistemas de verificación de identidad que usan las propias empresas como IDScan.Entre los registros robados aparecen nombres de alto perfil, incluyendo el Secretario de Defensa Pete Hegseth y un subdirector asistente del FBI. El Pentágono confirmó a TechCrunch que era consciente de la brecha. El FBI de Nueva Orleans abrió una investigación formal.¿Qué pueden hacer los afectados y qué dice IDScan?IDScan publicó un aviso en su web el 10 de septiembre donde reconoció que «el 1 de septiembre de 2026 aproximadamente, recibimos información que indica que ciertos datos pudieron haber sido accedidos sin autorización.» Su directora de operaciones, Jillian Kossman, había dicho a Krebs que estaban investigando; el CEO Jimmy Roussel no respondió a TechCrunch.La recomendación práctica es directa: si has mostrado tu carnet de conducir en cualquier local de ocio, dispensario, alquiler de coches o venue que use IDScan (o cualquier sistema de verificación de identidad externo), tus datos pueden estar en la base de datos robada. Congelar el crédito es la medida más efectiva; añadir una alerta de fraude en las agencias de crédito es la segunda.Las brechas de identidad son materialmente distintas de las filtraciones de email y contraseña porque no hay credencial que rotar. Un carnet de conducir robado puede usarse para impersonación durante años. Los ciberataques agentivos de 2026 han demostrado que el escaneo sistemático de bases de datos de terceros es un vector de ataque activo y creciente, no una amenaza teórica.Se han presentado ya varias demandas colectivas en Luisiana. Las firmas Markovits, Stock & DeMarco y Hall Attorneys han abierto investigaciones para potenciales acciones de clase. El alcance de las posibles demandas podría incluir reguladores estatales, la FTC federal y posibles casos de multidistritos judiciales similares a los de Equifax (2017, 147 millones de afectados) y Marriott (2018, 500 millones de registros).La brecha de IDScan abre también una pregunta de política pública sobre el modelo de verificación de identidad del mundo real. En EE.UU., mostrar el carnet de conducir para entrar en un bar o comprar cannabis es una práctica habitual. Hasta ahora se asumía que el riesgo de ese escaneo era limitado —los datos se verificaban y se descartaban, o se almacenaban localmente sin gran valor para terceros. IDScan demuestra que la realidad era diferente: un aggregador de millones de escaneos de documentos de identidad es exactamente el tipo de objetivo que atrae ataques sofisticados.La ironía es que los sistemas de verificación de identidad nacieron precisamente para proteger contra el fraude y la falsificación. Escanear un carnet físico con infrarrojo y ultravioleta es mucho más seguro que aceptar un número de identificación tecleado por el usuario. Pero al construir una base de datos centralizada con todos esos escaneos, IDScan creó un punto único de fallo de consecuencias catastróficas.Krebs, que lleva décadas cubriendo brechas de seguridad, señaló algo que resume el problema estructural: un carnet de conducir es la identidad de primera generación. Tiene foto, fecha de nacimiento, dirección y firma. Con las versiones infrarrojas y ultravioletas que guardaba IDScan, un atacante tiene suficiente material para pasar los sistemas de verificación biométrica más avanzados. La solución sistémica no es técnica sino de diseño: los sistemas de verificación de identidad deberían operar sin almacenar los documentos que verifican. Verificar que alguien es mayor de 21 años no requiere guardar una copia de su pasaporte para siempre.El caso IDScan también es un recordatorio de cuántas empresas acumulan datos de identidad de forma pasiva, sin que los usuarios lo sepan conscientemente. Cuando alguien muestra su carnet en la puerta de un local, sabe que le están escaneando el documento para verificar la edad. No sabe que ese escaneo puede guardarse indefinidamente en una base de datos de un tercero. La regulación de verificación de identidad en EE.UU. no exige que las empresas notifiquen a los usuarios sobre la retención de sus datos de identidad ni sobre las brechas que los afectan en el tiempo en que tardan en descubrirlas. IDScan tardó una semana en confirmar públicamente la brecha que Krebs llevaba investigando desde el 1 de septiembre. En Europa, el GDPR exige notificación en 72 horas. La diferencia de velocidad de respuesta regulatoria importa cuando se trata de 153 millones de personas cuya identidad podría estar siendo usada ya para fraude.La noticia IDScan confirma la brecha: 153 millones de carnets de conducir robados en un hackeo de un año que incluye al Secretario de Defensa de EE.UU. fue publicada originalmente en Wwwhatsnew.com por Natalia Polo.