Una brecha de seguridad de proporciones críticas
La empresa de verificación de identidad IDScan se encuentra en el centro de una tormenta legal tras informes que sugieren una de las mayores filtraciones de datos personales de los últimos años. Según diversas investigaciones, un servicio de venta de identidades robadas en la dark web, conocido como ‘Nexus’, puso a la venta una base de datos que contenía más de 153 millones de escaneos de licencias de conducir de Estados Unidos y Canadá.
El incidente, reportado inicialmente por el analista de seguridad Brian Krebs, no solo incluye licencias de conducir, sino también 10 millones de tarjetas de identificación, 3 millones de documentos de viaje y más de 579.000 tarjetas médicas. La magnitud de la exposición ha provocado la apertura de investigaciones por parte de la oficina del FBI en Nueva Orleans y la presentación de múltiples demandas colectivas.
¿Qué es IDScan y por qué es relevante para las empresas?
IDScan es un proveedor tecnológico especializado en soluciones de hardware y software para la captura, extracción de datos y autenticación de documentos de identidad emitidos por gobiernos. Su tecnología es ampliamente utilizada en sectores críticos como:
- Empresas de alquiler de vehículos (incluyendo gigantes como Hertz).
- Instituciones financieras.
- Comercios minoristas y farmacias.
- Establecimientos de hostelería y casinos.
Este caso subraya un riesgo creciente en la cadena de suministro digital: las empresas confían en terceros para validar la identidad de sus clientes, pero si ese proveedor falla en sus protocolos de custodia, la responsabilidad legal y reputacional puede recaer en toda la cadena.
Consecuencias legales e investigaciones en curso
Las demandas presentadas en Luisiana alegan que IDScan no implementó las medidas de seguridad necesarias para proteger la información sensible de los ciudadanos. Aunque la empresa no ha emitido una declaración oficial detallada, se ha informado que comenzó a notificar a algunos de sus clientes corporativos a principios de septiembre.
Desde una perspectiva de cumplimiento, este incidente podría derivar en sanciones severas por parte de reguladores federales y estatales, similares a las impuestas en casos históricos como los de Equifax o Marriott. La investigación del FBI busca determinar si los sistemas de IDScan fueron directamente comprometidos o si la exposición se debió a una configuración incorrecta de sus repositorios de datos en la nube.
Lecciones para la gestión de riesgos
Para el sector empresarial, este suceso es un recordatorio crítico de que la seguridad de la información no termina en el perímetro de la propia organización. La debida diligencia en la selección de proveedores tecnológicos y la auditoría constante de sus prácticas de tratamiento de datos son pasos indispensables para mitigar riesgos.
En Intedya, enfatizamos que la implementación de estándares internacionales como la ISO/IEC 27001 no es solo una ventaja competitiva, sino una necesidad para garantizar que el flujo de datos sensibles —especialmente la información de identificación personal (PII)— se gestione bajo los más estrictos controles de confidencialidad e integridad.
Fuentes
- Bleeping Computer — IDScan sued over alleged data breach affecting 153 million drivers
https://www.bleepingcomputer.com/news/security/idscan-sued-over-alleged-data-breach-affecting-153-million-drivers/