Entre ellas aparece incluso la del secretario de Defensa estadounidense, Pete Hegseth. Las evidencias apuntan hacia un proveedor de verificación de identidad utilizado por miles de empresas. El incidente expone una paradoja inquietante: los sistemas creados para combatir el fraude pueden convertirse, cuando concentran demasiada información, en una de sus mejores herramientas.
Entregar una licencia de conducir en el mostrador de una rentadora de autos parece un procedimiento rutinario. Lo mismo ocurre al ingresar a determinados establecimientos, retirar productos, verificar la edad o demostrar que una identidad es legítima.
El problema comienza cuando ese documento deja de estar solamente frente al empleado.
Una investigación publicada por KrebsOnSecurity reveló la existencia de Nexus, un nuevo servicio clandestino que afirmaba disponer de más de 153 millones de licencias de conducir digitalizadas pertenecientes a ciudadanos de Estados Unidos y Canadá. La colección incluiría además más de 10 millones de documentos de identidad, millones de documentos internacionales y cientos de miles de tarjetas médicas.
No se trata solamente de nombres, números de documento o direcciones extraídos de alguna vieja base de datos.
Nexus ofrecía imágenes digitalizadas de los documentos, incluyendo frente y reverso y, en algunos casos, las capturas infrarrojas y ultravioletas utilizadas por los propios sistemas de verificación para comprobar su autenticidad.
Y entre los documentos encontrados aparece uno particularmente sensible: la licencia de conducir del secretario de Defensa de Estados Unidos, Pete Hegseth.
De un mostrador legítimo a la dark web
La investigación de Brian Krebs encontró una pista especialmente reveladora.
Al contactar a personas cuyos documentos aparecían en Nexus, los investigadores pudieron comparar las fechas registradas en las imágenes con situaciones reales en las que esas personas habían presentado físicamente sus identificaciones.
En varios casos, las coincidencias apuntaban a alquileres de vehículos en Hertz. En otro, el investigador de privacidad Zach Edwards encontró una licencia cuya fecha coincidía con una visita a un dispensario de cannabis Planet 13 en Las Vegas.
Ambas organizaciones han utilizado tecnología de IDScan.net, una compañía estadounidense especializada precisamente en verificar documentos de identidad.
La empresa ofrece sistemas capaces de escanear licencias, pasaportes y otros documentos, extraer información de sus códigos de barras y analizar elementos destinados a determinar si una identificación es auténtica.
Su tecnología es utilizada en sectores tan diversos como alquiler de vehículos, hotelería, comercio minorista, transporte, servicios financieros, casinos y control de acceso. También tiene una presencia importante en dispensarios de cannabis, donde la verificación de identidad y edad es un requisito habitual.
La conexión es fuerte, pero todavía debe tratarse como una hipótesis bajo investigación: IDScan.net no ha confirmado públicamente que sus sistemas sean el origen de los 153 millones de registros ni que esa cifra represente 153 millones de personas únicas. La compañía informó que investiga el incidente y el FBI abrió una investigación sobre el caso.
Un robo potencialmente activo durante más de un año
Otro elemento vuelve al incidente todavía más preocupante.
Los responsables de Nexus afirmaban haber estado obteniendo información durante más de un año, lo que plantearía un escenario muy diferente al de una intrusión puntual seguida por el robo de una base de datos.
Según los operadores, el repositorio continuaba creciendo: aproximadamente 400.000 nuevos documentos habrían sido incorporados en apenas 24 horas mientras el servicio estaba siendo observado.
Si esas afirmaciones son correctas, algo todavía no confirmado, podría haber existido algún mecanismo persistente de acceso o exfiltración capaz de alimentar continuamente el repositorio.
Nexus desapareció de la dark web poco después de hacerse pública la investigación. Pero cerrar el mercado no significa eliminar los datos. Una vez que una colección de esta magnitud ha sido copiada, no existe ninguna garantía de que no haya sido replicada, vendida o distribuida previamente.
El problema no es solamente que hayan robado documentos
Una licencia de conducir contiene suficiente información como para facilitar numerosas modalidades de fraude: nombre completo, fotografía, fecha de nacimiento, dirección, número de documento, fecha de vencimiento y otros atributos.
Pero este caso tiene una característica adicional.
Los sistemas profesionales de validación no dependen exclusivamente de una fotografía convencional del documento. Algunos lectores capturan información mediante diferentes espectros de luz para detectar características de seguridad difíciles de reproducir.
Precisamente ese tipo de material aparece entre los registros atribuidos a Nexus.
Eso convierte el incidente en algo conceptualmente más grave: parte de la información utilizada para demostrar que un documento es auténtico podría haber terminado en manos de quienes buscan falsificar identidades.
Es la misma paradoja que aparece una y otra vez en ciberseguridad.
Cuanto más sofisticado es un mecanismo de identificación, mayor cantidad de información necesita recopilar para funcionar. Y cuanto más información concentra, más atractivo se vuelve el sistema que la almacena.
Pete Hegseth es la anécdota. Los 153 millones son el problema
Que la licencia del secretario de Defensa estadounidense aparezca en la colección convierte el incidente en un titular inevitable.
Pero centrarse únicamente en Hegseth sería perder de vista el verdadero problema.
El documento de una de las personas con mayores responsabilidades de seguridad nacional de Estados Unidos terminó aparentemente dentro del mismo circuito tecnológico utilizado para verificar la identidad de millones de ciudadanos comunes.
Eso demuestra hasta qué punto los proveedores privados de identidad se han convertido en infraestructura crítica de facto.
Una empresa puede no operar centrales eléctricas, redes militares ni sistemas gubernamentales y, aun así, acumular información suficientemente sensible como para convertirse en un objetivo estratégico.
Y existe además un problema de visibilidad.
Una persona entrega su licencia en Hertz porque está haciendo negocios con Hertz. Pero detrás de esa interacción pueden existir proveedores tecnológicos, plataformas cloud, procesadores y otros actores que el usuario nunca conoció y con los que jamás decidió conscientemente compartir su identidad.
La superficie de exposición real queda escondida detrás de la cadena de proveedores.
La identidad como infraestructura digital
Durante años, empresas y gobiernos han respondido al fraude aumentando los mecanismos de verificación.
Más documentos.
Más fotografías.
Más biometría.
Más controles.
Más información almacenada.
Pero cada capa adicional también crea nuevas bases de datos capaces de transformarse en objetivos.
El caso Nexus plantea entonces una pregunta que va mucho más allá de IDScan.net: ¿cuánta información necesitamos conservar después de verificar que una persona es quien dice ser?
Porque verificar una identidad y almacenar indefinidamente todo lo utilizado para verificarla son dos decisiones completamente diferentes.
Desde una perspectiva de seguridad, la minimización de datos deja de ser solamente un principio de privacidad. También es una estrategia defensiva.
La información que no se conserva no puede ser robada años después.
La soberanía sobre nuestra identidad también se tercerizó
El incidente expone finalmente otra dimensión del problema.
Cada vez más actividades cotidianas dependen de intermediarios privados capaces de determinar si una identidad es válida: bancos, aeropuertos, hoteles, plataformas digitales, comercios, casinos o empresas de transporte.
Detrás de ellos existe una industria completa dedicada a capturar, procesar y autenticar documentos personales.
La identidad, una de las relaciones más fundamentales entre una persona y el Estado, está siendo progresivamente intermediada por infraestructura tecnológica privada.
Cuando esa infraestructura falla, el ciudadano descubre algo incómodo: quizás nunca supo quién almacenaba su documento, durante cuánto tiempo, en qué infraestructura o bajo qué condiciones.
Nexus puede desaparecer mañana. Otro mercado puede ocupar su lugar.
El verdadero problema permanece.
Construimos sistemas de verificación destinados a demostrar quiénes somos y, para hacerlo, creamos gigantescos repositorios capaces de entregar nuestra identidad completa a quien consiga vulnerarlos.
La pregunta ya no debería ser solamente cómo verificamos mejor una identidad.
También debería ser por qué seguimos guardando todas las pruebas después de haberla verificado.