Sabe quando você precisa provar que você é você para acessar uma plataforma ou usar algum serviço? Às vezes, os dados que você envia (documentos escaneados, selfie segurando algum deles etc.) vão para empresas terceirizadas que prestam esse serviço de verificação e autenticação. Isto é, que falam: ok, você é quem diz ser. E uma dessas empresas aparentemente foi alvo de um grande vazamento de dados.É o que revelou o jornalista Brian Krebs, que cobre principalmente cibersegurança. Uma reportagem publicada em seu site na terça-feira (1º) apontou que a empresa IDScan provavelmente foi hackeada. E seu vasto acervo de documentos vazou.Até o que se sabe no momento, os documentos que vazaram seriam de países como Estados Unidos e Canadá. Mas a IDScan também oferece autenticação para documentos brasileiros. E lista suporte a documentos do Brasil (veja abaixo).IDScan oferece autenticação para documentos brasileiros – Imagem: ReproduçãoVazamento de documentos de identidade: entenda o que aconteceuTudo começou quando um site no ecossistema da dark web, batizado de Nexus, passou a anunciar o acesso a um banco de dados gigantesco. Os cibercriminosos afirmavam ter fotos de mais de 153 milhões de carteiras de motorista emitidas nos Estados Unidos e no Canadá. Eles também diziam ter cerca de dez milhões de documentos de identidade, três milhões de passaportes e documentos de viagem, carteirinhas de saúde e até crachás de acesso a prédios governamentais.Para provar que o material era autêntico, o site exibiu amostras. Entre elas, estavam documentos do próprio Krebs e de autoridades norte-americanas, como o Secretário de Defesa dos EUA, Pete Hegseth, e um diretor-assistente do FBI.A ligação do vazamento com a IDScan apareceu na análise das fotos expostas. Cada imagem tinha uma marca de data e hora. Ao cruzar essas informações com seu histórico pessoal, Krebs percebeu que os horários batiam com momentos em que tinha apresentado documentos em locais com leitores da IDScan.Vasto acervo de documentos de empresa de verificação de identidades pode ter vazado – Imagem: Olhar Digital via ChatGPTAlém de fotos da frente e do verso de documentos, o vazamento tinha versões capturadas em luz infravermelha e ultravioleta. Esses são os espectros de luz usados pelas máquinas de validação para verificar elementos de segurança invisíveis a olho nu.Para piorar, a extração dos dados parece ter ocorrido em tempo real. Em 24 horas, aproximadamente 400 mil registros teriam entrado na base de dados do Nexus. Os cibercriminosos disseram ter coletado dados da empresa ao longo de um ano.Após a publicação da reportagem e a confirmação de que o escritório do FBI em Nova Orleans abriu uma investigação sobre a IDScan, o site Nexus saiu do ar.‘Impacto do vazamento pode acompanhar as vítimas por anos’, diz especialista em cibersegurançaPara Natalian Silva, porta-voz da IAM Brasil e especialista em cibersegurança, o caso é grave porque tecnologias como a fornecida pela IDScan “são utilizadas em processos críticos”. “Portanto, o vazamento não expõe apenas documentos: ele pode fornecer matéria-prima para fraudes em diversos serviços financeiros, digitais e presenciais”, diz a especialista, em entrevista ao Olhar Digital.Silva acrescenta o seguinte: “Documentos previamente capturados e validados são especialmente valiosos para criminosos porque podem ser utilizados em tentativas de abertura de contas, solicitação de crédito, recuperação indevida de acessos, alteração de dados cadastrais, engenharia social e criação de identidades sintéticas.”A especialista faz duas ressalvas. A primeira é que um vazamento deste tipo não significa que os processos que usam os documentos em questão estarão automaticamente comprometidos. “Terceirizar a validação de identidade não significa terceirizar a responsabilidade”, diz especialista – Imagem: Olhar Digital via ChatGPT“Uma validação madura não deveria confiar apenas na apresentação da imagem de um documento”, diz Natalian Silva. “Ela precisa combinar diferentes sinais, como prova de vida, comparação biométrica, reputação do dispositivo, contexto da transação, comportamento e análise de risco. O incidente, porém, reduz significativamente a confiança no documento como evidência isolada.”A porta-voz da IAM Brasil, empresa de consultoria brasileira especializada em cibersegurança, também aponta um agravante: “Uma senha pode ser alterada depois de um vazamento, mas características como rosto, data de nascimento, assinatura e histórico pessoal não podem ser simplesmente substituídas.”O impacto pode acompanhar as vítimas por muitos anos.Natalian Silva, porta-voz da IAM Brasil e especialista em cibersegurança, em entrevista ao Olhar Digital.A segunda ressalva feita pela especialista é: “não concluir, apenas pelo fato de a plataforma oferecer suporte a documentos brasileiros, que documentos de brasileiros efetivamente foram vazados”. “Até o momento, isso precisa ser confirmado pela investigação. A possibilidade técnica de processamento indica uma exposição potencial, mas não comprova que dados brasileiros façam parte do incidente.”Natalian Silva recomenda que empresas que usam a tecnologia da IDScan ajam rápido para checar quais integrações e dados estão ativos com a plataforma parceira. E para trocar as chaves de acesso digital (APIs), credenciais e senhas. Ainda segundo Silva, também é preciso exigir explicações do fornecedor sobre a extensão do vazamento. E, se não houver garantias de segurança, suspender temporariamente o envio de novas informações.“Esse caso reforça que terceirizar a validação de identidade não significa terceirizar a responsabilidade”, observa a especialista. “A organização que escolhe o fornecedor continua responsável por conhecer o fluxo dos dados, limitar a retenção, avaliar a transferência internacional, fiscalizar os controles de segurança e manter alternativas para responder quando um elo crítico da cadeia de confiança falha”, conclui.O Olhar Digital pediu posicionamento para a IDScan. Mas não tinha obtido retorno até a publicação desta matéria.O post Vazamento gigante expõe milhões de documentos e pode afetar o Brasil apareceu primeiro em Olhar Digital.