¿Has alquilado un coche hace poco? Un escaneo de tu carnet de conducir pudo estar en venta
El 31 de agosto apareció en un foro cibercriminal ruso un servicio que se hacía llamar Nexus, con una oferta bastante peor que una filtración de contraseñas. Brian Krebs, que lo contó el 1 de septiembre, contabilizó más de 153 millones de carnets de conducir estadounidenses y canadienses, más de 10 millones de documentos de identidad, 3 millones de documentos de viaje y 579.000 tarjetas médicas. Imágenes por delante y por detrás, y en algunos casos también los escaneos por infrarrojos y ultravioleta. Nexus aseguraba llevar más de un año sacando registros frescos de una "gran empresa de verificación de identidad", y decía haber añadido 400.000 en las últimas 24 horas.
La empresa en cuestión parece ser IDScan.net, una firma de Luisiana cuyos escáneres están detrás de los mostradores de alquiler de coches, hoteles, bares, armerías y dispensarios. Hertz es cliente. Nexus desapareció el 2 de septiembre, un día después de la publicación de Krebs, lo cual no equivale en absoluto a que los datos hayan desaparecido. El 4 de septiembre la oficina del FBI en Nueva Orleans ya había abierto una investigación, se habían presentado varias demandas en Luisiana y IDScan seguía sin decir nada en público.
Y aquí viene la parte incómoda. Un carnet no es una contraseña. No puedes cambiar tu fecha de nacimiento, y una imagen nítida y de alta resolución de un documento real es exactamente lo que alguien necesita para abrir una cuenta a tu nombre o convencer a un servicio de atención al cliente. Congelar tu crédito es la medida más útil que existe, y es gratis. Después, trata cualquier llamada o correo que recite tu número de carnet como prueba de absolutamente nada. Ese dato ya no es privado.
Casi todos guardamos también nuestras propias copias: la foto del pasaporte para una reserva, el escaneo del carnet que pidió el seguro, en una carpeta del PC. La comprobación de la postura de seguridad de Tendvane te dirá si el disco donde están está realmente cifrado con BitLocker, que no es lo mismo que suponerlo.