Patenti finiscono sul dark web: 153 milioni di documenti in vendita

lentepubblica.it

Una patente non è soltanto un documento da mostrare durante un controllo stradale. È una vera chiave di accesso all’identità di una persona: contiene nome, data di nascita, indirizzo, fotografia e, in molti casi, altri elementi utili a ricostruire un profilo credibile.

Per questo la notizia dell’enorme archivio di patenti sul dark web, riferito a oltre 153 milioni di documenti statunitensi e canadesi, non riguarda esclusivamente chi vive dall’altra parte dell’Atlantico. Racconta un problema ormai globale: la crescente fragilità dei dati raccolti ogni giorno per noleggiare un’auto, accedere a un servizio, aprire un conto o dimostrare la propria identità.

Al centro della vicenda c’è una piattaforma denominata Nexus, comparsa nei circuiti della criminalità informatica e pubblicizzata sul forum russo Exploit. Gli autori sostenevano di poter fornire scansioni digitali di milioni di documenti, consultabili attraverso strumenti di ricerca pensati per individuare persone specifiche. Un catalogo dell’identità, insomma, messo a disposizione di potenziali acquirenti e criminali interessati a frodi, raggiri e furti d’identità.

Un archivio che trasforma i documenti in merce

I numeri attribuiti a Nexus danno la misura dell’allarme. L’archivio avrebbe raccolto 153.347.439 patenti di guida, soprattutto degli Stati Uniti e del Canada, ma non si sarebbe limitato a queste. Nel materiale disponibile comparivano anche carte d’identità, documenti di viaggio, patenti internazionali, tessere sanitarie, attestazioni lavorative e permessi di soggiorno. Non un semplice elenco di indirizzi email o di numeri telefonici, ma copie di documenti capaci di rendere molto più plausibile qualsiasi tentativo di impersonare una vittima.

In ambito cybercriminale, infatti, una fotografia della patente ha un valore diverso rispetto a una password sottratta. Le credenziali possono essere cambiate; il documento, invece, conserva informazioni che restano stabili nel tempo e che spesso vengono richieste dalle piattaforme per le procedure di verifica. Se incrociata con dati ottenuti da precedenti violazioni, una scansione può consentire di costruire un’identità digitale credibile, utile per chiedere finanziamenti, attivare utenze, aggirare controlli o convincere un operatore dell’autenticità di una richiesta.

È qui che la fuga di dati smette di essere una vicenda tecnica riservata agli specialisti. Per il cittadino coinvolto, le conseguenze possono presentarsi anche mesi dopo, magari sotto forma di una comunicazione inattesa, di un contratto mai firmato o di un tentativo di recupero crediti relativo a un servizio mai richiesto. La disponibilità di un documento autentico rende più insidiosa persino la classica truffa telefonica o via email: chi contatta la vittima può conoscere dettagli personali sufficienti a risultare convincente.

Il documento di Brian Krebs usato come campione

L’esistenza dell’archivio è emersa grazie al giornalista e ricercatore di sicurezza informatica Brian Krebs, che ha scoperto la presenza della propria patente fra i documenti messi in circolazione. Il particolare più inquietante è che la scansione sarebbe stata usata dagli stessi criminali come campione gratuito, una sorta di dimostrazione dell’autenticità del materiale destinata ad attirare clienti.

Krebs ha potuto verificare direttamente la corrispondenza tra l’immagine disponibile e il proprio documento. Insieme al ricercatore Zach Edwards, ha poi individuato ulteriori collegamenti tra le scansioni contenute nel database e operazioni reali nelle quali le persone interessate avevano mostrato un documento per confermare la propria identità. Tra i nominativi emersi anche quello del Segretario alla Difesa degli USA Pete Hegseth, il cui documento risulta offerto a pagamento.

Il coinvolgimento di personalità note non rende il caso più grave di quello che riguarda milioni di cittadini comuni, ma contribuisce a rafforzare la credibilità dell’archivio e a mostrare come nessuno sia davvero al riparo quando una filiera di raccolta e conservazione dei dati viene compromessa. La fotografia di una patente, una volta sottratta, può essere duplicata e diffusa senza che il titolare ne abbia immediata percezione.

La possibile origine della violazione e l’indagine dell’FBI

La ricostruzione pubblicata dalle testate che hanno seguito il caso porta l’attenzione su IDScan.net, società con sede a New Orleans che fornisce tecnologie per la verifica dell’identità ad altre imprese. L’ipotesi è che la raccolta possa provenire da una compromissione dei sistemi utilizzati da questo fornitore o da uno dei punti della catena in cui i documenti vengono acquisiti e trattati.

Si tratta però di un aspetto ancora da accertare in via definitiva. I riscontri emersi hanno mostrato che alcune persone presenti nell’archivio avevano utilizzato la patente in occasione di operazioni commerciali effettuate presso attività che ricorrevano a servizi di verifica dell’identità. Fra i nomi citati nelle ricostruzioni figurano anche grandi aziende; tuttavia, il semplice utilizzo di una tecnologia non dimostra automaticamente una responsabilità diretta nella violazione. Target, per esempio, ha precisato di utilizzare alcuni dispositivi del fornitore senza trasmettere dati dei clienti nel contesto indicato.

L’ufficio dell’FBI di New Orleans ha avviato un’indagine. Nel frattempo, la piattaforma Nexus risulterebbe non più accessibile, ma la sua chiusura non equivale alla scomparsa dei documenti. Una volta immessi nel circuito criminale, file e copie possono essere trasferiti, replicati e rivenduti in altri spazi digitali. È questo il punto che rende gli incidenti di sicurezza basati sui documenti d’identità particolarmente difficili da gestire.

Patenti sul dark web: cosa insegna il caso alle imprese e alla Pubblica amministrazione

La vicenda offre una lezione importante anche per le organizzazioni italiane, comprese le amministrazioni pubbliche. Ogni volta che un ente o un’impresa acquisisce la copia di un documento, non sta conservando un semplice allegato amministrativo: custodisce informazioni che, se sottratte, possono esporre le persone a danni concreti e duraturi.

Il principio da cui partire è semplice: raccogliere solo ciò che è realmente necessario. La richiesta generalizzata di una copia integrale della patente o della carta d’identità non è sempre indispensabile. Quando il documento serve davvero, occorrono misure proporzionate: limitare gli accessi, tracciare le consultazioni, cifrare gli archivi, stabilire tempi di conservazione chiari e verificare con attenzione i fornitori esterni. Un’applicazione o un servizio di riconoscimento può essere utile, ma non solleva il titolare del trattamento dall’obbligo di valutare rischi, garanzie contrattuali e modalità operative.

Per il singolo utente, la prudenza non elimina il pericolo ma può ridurlo. È bene diffidare da telefonate, messaggi o email che chiedono conferme urgenti di dati personali, anche quando chi scrive sembra conoscere informazioni corrette. In caso di sospetti su utilizzi impropri della propria identità, conviene conservare le comunicazioni ricevute, contattare l’organizzazione coinvolta e valutare una segnalazione alle autorità competenti.

Il caso delle patenti sul dark web mostra, soprattutto, che la protezione dei dati non è un adempimento da confinare in una casella burocratica. È una condizione essenziale per preservare fiducia, sicurezza economica e libertà delle persone. Quando un documento diventa merce, a essere messa in vendita non è soltanto un’immagine: è una parte della vita quotidiana di chi lo possiede.

The post Patenti finiscono sul dark web: 153 milioni di documenti in vendita appeared first on lentepubblica.it.