IDScan confirma vazamento de mais de 150 milhões de documentos de identidade

A IDScan, empresa de verificação de identidade sediada na Louisiana (EUA), confirmou em aviso no próprio site que sofreu um vazamento de dados envolvendo o roubo de carteiras de motorista de seus sistemas. Segundo a TechCrunch, o reconhecimento veio uma semana depois de um relatório apontar que a companhia havia sido invadida ao longo de um hack que durou cerca de um ano.

Os dados foram extraídos da nuvem da empresa. De acordo com o aviso, as informações roubadas incluem nomes completos e números de carteira de motorista, além de números de identidade de outros documentos emitidos por governos, como passaportes. A IDScan diz manter mais de 150 milhões de registros de CNH, embora ainda não tenha informado quantas pessoas foram efetivamente afetadas.

O que aconteceu, na ordem dos fatos

A IDScan afirmou ter "recebido informação" por volta de 1º de setembro sobre uma alegação de invasão, no mesmo dia em que o jornalista de cibersegurança↳Segurança171 conteúdosCibersegurança no Brasil: 6 passos para sair da estagnaçãoDevSecOps · jul 2025O papel do CISO para transformar a cibersegurança em uma alavanca de reputação para as empresasDevSecOps · mar 2024Itaipu Parquetec e Exército Brasileiro realizam exercício de cibersegurança em BrasíliaDev (Back & Front) · set 2025Ver tudo em DevSecOps → Brian Krebs publicou o primeiro relato sobre o incidente. Krebs contou ter sido alertado sobre um site na dark web que permitia a qualquer pessoa consultar os dados de carteira de motorista de mais de 150 milhões de indivíduos nos EUA e no Canadá, incluindo o acesso às fotos.

O jornalista verificou a autenticidade dos dados examinando o próprio registro. A base também continha figuras públicas, incluindo o secretário de Defesa dos EUA, Pete Hegseth, e um pesquisador de segurança que confirmou seus próprios dados para a reportagem. O Pentágono disse à TechCrunch estar ciente da suspeita de vazamento, e um porta-voz do FBI afirmou que também investigava o caso.

Segundo a IDScan, o acesso completo ao conjunto de dados roubados exigia pagamento, o que sugere uma demanda financeira feita pelos invasores para liberar o cache completo. A empresa não respondeu ao pedido de comentário da TechCrunch sobre se houve pedido de resgate para não divulgar os dados.

Por que isso importa para quem constrói no Brasil

A IDScan atende clientes corporativos que vão de casas de espetáculo a dispensários de cannabis, usando o serviço para checar e validar documentos de seus clientes. Esse é exatamente o padrão de arquitetura que se repete no Brasil: fintechs, marketplaces, exchanges de cripto, casas de aposta e plataformas de aluguel terceirizam a etapa de KYC (Know Your Customer) e verificação de identidade para fornecedores especializados.

O ponto que o incidente escancara é que, ao integrar um provedor de verificação, você herda o risco dele. Um vazamento como o da IDScan não é um problema só da IDScan: os dados dos usuários que passaram por aquele fluxo estão na base comprometida. Para o dev que plugou o SDK ou consumiu a API de um fornecedor de identidade, a superfície de ataque cresceu sem que uma única linha do próprio código tenha sido tocada.

No contexto regulatório brasileiro, isso tem peso concreto. Sob a LGPD↳LGPD14 conteúdosComo utilizar a LGPD com o objetivo de conformidade e inovação?Gestão Dev & TI · out 2021LGPD coloca pressão inédita nos responsáveis pela tecnologia das empresasData · ago 2021Proteção de dados: LGPD é sancionada e começa a valerData · set 2020Ver tudo em Gestão Dev & TI →, número de documento, nome completo e imagem de rosto são dados pessoais, e o rosto usado em prova de vida configura dado biométrico, tratado como dado sensível. Um vazamento envolvendo esse tipo de informação aciona obrigações de notificação à ANPD e aos titulares, e a responsabilidade pode recair sobre o controlador (a empresa que oferece o serviço ao usuário final), não apenas sobre o operador (o fornecedor de verificação).

O que revisar agora no seu fluxo de verificação

Se o seu produto depende de um terceiro para KYC ou verificação documental, vale usar o caso IDScan como gatilho para uma revisão prática. Alguns pontos que eu colocaria na frente da fila:

• Mapear o que o fornecedor retém. A pergunta central é: depois da verificação concluída, o provedor guarda a imagem do documento, a foto de prova de vida e os números? Por quanto tempo? Um dos aprendizados do caso é que uma base de 150 milhões de registros só existe porque os dados ficaram armazenados na nuvem do fornecedor.
• Minimizar o que trafega e o que persiste. Se dá para receber apenas um resultado booleano ("documento válido / rosto confere") em vez do payload completo com número e imagem, essa é a arquitetura mais defensável. Guardar imagem de CNH no seu próprio bucket "por garantia" transforma você no próximo alvo.
• Exigir clareza contratual sobre incidentes. Prazo de notificação, escopo de dados sob custódia e responsabilidade em caso de vazamento precisam estar no contrato com o operador, não descobertos depois que a dark web já indexou a base.
• Ter plano de resposta pronto. Quem são os titulares afetados no seu recorte? Como você os notifica? A IDScan levou uma semana entre "estamos investigando" e "confirmamos o roubo"; esse intervalo é o pior momento para improvisar comunicação.

O que ainda está em aberto

A investigação da IDScan segue em andamento e a empresa não detalhou o vetor da invasão, quanto tempo os atacantes permaneceram dentro do ambiente antes da detecção, nem o número exato de pessoas afetadas dentro dos mais de 150 milhões de registros que diz manter. Também não está confirmado publicamente se houve pedido de resgate.

Para o desenvolvedor brasileiro, a lição não depende desses detalhes: fornecedores de identidade concentram um dos conjuntos de dados mais valiosos que existem, o que os torna alvos permanentes. Terceirizar a verificação continua fazendo sentido operacional, mas terceirizar a verificação nunca terceiriza a responsabilidade sobre os dados do seu usuário. Vale acompanhar os desdobramentos diretamente no aviso da própria IDScan e nas atualizações da reportagem original.

Fonte: TechCrunch