Las autoridades canadienses de privacidad han abierto una investigación sobre IDScan.net tras una grave brecha de seguridad relacionada con copias digitales de permisos de conducir y otras identificaciones emitidas por el gobierno.
La Oficina del Comisionado de Privacidad de Canadá está examinando si la empresa de verificación de identidad contaba con salvaguardas de seguridad adecuadas antes de que los atacantes accedieran a la información almacenada en su entorno en la nube. La investigación también determinará si IDScan.net notificado correctamente a las personas afectadas, como exige la ley federal canadiense de privacidad del sector privado.
IDScan.net proporciona tecnología que las empresas utilizan para verificar la identificación emitida por el gobierno. Sus servicios se utilizan en sectores como la hostelería y la vida nocturna, lo que significa que la empresa puede gestionar información especialmente sensible recopilada cuando los clientes demuestran su identidad.
El incidente llamó la atención después de que se informara que un mercado de la dark web llamado Nexus ofrecía acceso a una enorme colección de documentos de identidad de Estados Unidos y Canadá. El mercado afirmaba poseer aproximadamente 153 millones de registros de permisos de conducir, junto con millones de otros documentos de identificación.
Esa cifra no ha sido confirmada por IDScan.net ni por las autoridades canadienses como el número de personas afectadas por la brecha de la empresa. Los informes sobre el mercado también indicaron que aproximadamente 1,1 millones de búsquedas correspondían a permisos de conducir canadienses, pero el número exacto de víctimas canadienses sigue siendo desconocido.
IDScan.net hizo pública la situación de seguridad el 4 de septiembre tras recibir información alrededor del 1 de septiembre que indicaba que los datos podrían haber sido accedidos sin autorización. Posteriormente, la empresa determinó que un tercero no autorizado pudo haber accedido o copiado información de clientes almacenada en cuentas en la IDScan.net cloud.
La información potencialmente comprometida incluye nombres completos y números de permiso de conducir u otros números de identificación emitidos por el gobierno. La colección más amplia anunciada en línea contenía, según se informa, imágenes digitales de documentos de identidad, aunque las autoridades no han establecido públicamente el alcance completo de la información extraída de IDScan.net.
La empresa afirma que ha estado notificando a las personas potencialmente afectadas y ofreciendo servicios gratuitos de monitorización crediticia y protección de identidad. El FBI también ha reconocido haber investigado los informes relacionados con los documentos de identidad robados.
La investigación de Canadá se centrará ahora en las medidas de seguridad de IDScan.net y su respuesta al incidente bajo la Ley de Protección de Información Personal y Documentos Electrónicos. El comisionado de privacidad no ha proporcionado un plazo para completar la investigación, citando la naturaleza activa del caso.