El robo de identidad digital alcanza una escala inédita: 153 millones de carnés de conducir circulan por la dark web.
El FBI investiga el origen de la filtración, que según KrebsOnSecurity apunta a un verificador de identidad con sede en Luisiana. Los documentos se venden a través de Nexus, un servicio de reciente aparición que incluye registros de un director adjunto del FBI, de la madre de Brian Krebs y de varios investigadores de seguridad.
Claves de la operación
- Nexus vende 153 millones de carnés a doble cara. Cada ficha incluye imágenes frontales y traseras, además de capturas en infrarrojo y ultravioleta para saltarse hologramas.
- El FBI sitúa el origen en un verificador de identidad. La pista de Luisiana apunta a un proveedor digital, no a un robo directo de registros estatales.
- El nivel técnico encarece el fraude. Los archivos permiten falsificar clones capaces de superar controles de autenticidad, lo que eleva su precio en el mercado negro.
La guerra por el control de la identidad digital entra en la dark web
Nexus no vende solo carnés. La plataforma ofrece otros documentos de identidad y, según el análisis de KrebsOnSecurity, su catálogo crece día a día. El detalle más relevante no es el volumen, sino el formato. Cada identidad se entrega con imágenes en infrarrojo y ultravioleta, dos espectros que los equipos de verificación usan para detectar copias. Un clon que supere esos filtros deja de ser una falsificación rudimentaria.
La mecánica recuerda al fraude documental en los mercados financieros: cuando el instrumento fraudulento supera el control de autenticidad, la pérdida se traslada al verificado. Las aseguradoras y la banca estadounidense, principales usuarias de la verificación de identidad vinculada a permisos de conducir, revisan ahora sus controles. El riesgo no viene de la filtración en sí, sino del tiempo que Nexus podrá comercializar esas identidades sin ser desmantelado.
Brian Krebs publicó el hallazgo tras comprobar que su propio carné de conducir estaba a la venta. No es un detalle menor: los periodistas que cubren cibercrimen suelen ser objetivos habituales, pero la presencia de un director adjunto del FBI en la base sugiere que el alcance va más allá del robo dirigido. El archivo contiene muestras personales de una red amplísima.
Un carné de conducir no es un dato: es la llave maestra para abrir cuentas, créditos y contratos.
La pista de Luisiana que amplía la responsabilidad de los verificadores
La investigación del FBI se centra en un verificador de identidad que opera desde Luisiana. Si se confirma el origen, el caso no se explicará por una brecha en un servidor estatal, sino por el compromiso de un intermediario que almacenaba copias de documentos en bruto. La diferencia es esencial: los verificadores que conservan más datos de los necesarios multiplican el perímetro de exposición.
Las capturas en infrarrojo y ultravioleta revelan otra capa del problema. En un simple escaneo frontal, el criminal obtiene la foto, el nombre y la fecha de nacimiento. Con los espectros adicionales gana, además, la posibilidad de replicar los elementos de seguridad físicos. El coste de salida al mercado de una identidad clonada sube, pero también crece la probabilidad de que pase desapercibida en controles automatizados.
Lo que la fuga de Nexus enseña a la banca y al sector público español
En España, el sector de la verificación digital se mueve entre la banca y el sector público. Grandes firmas como Indra participan en el diseño de documentos de identidad y firma digital, mientras que empresas emergentes como FacePhi han encontrado en la banca un nicho para la verificación biométrica. El episodio de Luisiana toca de lleno a ese modelo: la identidad digital vale porque se puede reutilizar, y por eso mismo se convierte en objetivo.
El precedente obliga a revisar qué se guarda, durante cuánto tiempo y con qué finalidad. La Comisión Europea prepara una cartera digital de identidad para ciudadanos y empresas, pero su éxito dependerá de la confianza en que los datos no se reutilicen sin control. Observamos un riesgo estructural: la mayoría de los verificadores europeos guarda más copias de documentos de las que declara en sus políticas de privacidad. Si no auditan esa retención, el problema no será solo estadounidense.
