Alugou um carro há pouco tempo? Uma digitalização da sua carta de condução pode ter estado à venda
A 31 de agosto surgiu num fórum cibercriminoso russo um serviço que se apresentava como Nexus, com uma oferta bastante pior do que uma fuga de palavras-passe. Brian Krebs, que a descreveu a 1 de setembro, contou mais de 153 milhões de cartas de condução norte-americanas e canadianas, mais de 10 milhões de documentos de identificação, 3 milhões de documentos de viagem e 579 000 cartões médicos. Imagens da frente e do verso e, nalguns casos, também as digitalizações por infravermelhos e ultravioletas. O Nexus afirmava andar há mais de um ano a retirar discretamente registos frescos de uma "grande empresa de verificação de identidade", e dizia ter acrescentado 400 000 nas 24 horas anteriores.
A empresa em causa parece ser a IDScan.net, uma firma do Louisiana cujos leitores estão atrás dos balcões dos rent-a-car, dos hotéis, dos bares, das armarias e dos dispensários. A Hertz é cliente. O Nexus desapareceu a 2 de setembro, um dia depois da publicação de Krebs, o que não é de todo o mesmo que os dados terem desaparecido. A 4 de setembro a delegação do FBI em Nova Orleães tinha aberto uma investigação, várias ações tinham dado entrada no Louisiana e a IDScan continuava sem dizer nada publicamente.
E agora a parte incómoda. Uma carta de condução não é uma palavra-passe. Não pode mudar a sua data de nascimento, e uma imagem nítida e de alta resolução de um documento verdadeiro é exatamente aquilo de que alguém precisa para abrir uma conta em seu nome ou convencer um apoio ao cliente. Congelar o crédito é a medida isolada mais útil, e é gratuita. Depois disso, trate qualquer chamada ou mensagem que recite o número da sua carta como prova de coisa nenhuma. Esse detalhe deixou de ser privado.
Quase todos guardamos também as nossas próprias cópias: a foto do passaporte para uma reserva, a digitalização da carta que a seguradora pediu, numa pasta do PC. A verificação da postura de segurança do Tendvane diz-lhe se o disco onde estão está mesmo cifrado com o BitLocker, o que não é a mesma coisa que presumir que está.