As autoridades canadenses de privacidade abriram uma investigação sobre IDScan.net após uma grande violação de segurança envolvendo cópias digitais de carteiras de motorista e outras identificações emitidas pelo governo.
O Escritório do Comissário de Privacidade do Canadá está examinando se a empresa de verificação de identidade possuía salvaguardas de segurança adequadas antes que os atacantes tivessem acesso às informações armazenadas em seu ambiente em nuvem. A investigação também determinará se IDScan.net notificar adequadamente os indivíduos afetados, conforme exigido pela lei federal de privacidade do setor privado do Canadá.
IDScan.net fornece tecnologia que as empresas utilizam para verificar identificação emitida pelo governo. Seus serviços são utilizados em setores como hospitalidade e vida noturna, o que significa que a empresa pode lidar com informações particularmente sensíveis coletadas quando os clientes comprovam sua identidade.
O incidente chamou atenção depois que um marketplace da dark web chamado Nexus foi relatado como oferecendo acesso a uma enorme coleção de documentos de identidade dos Estados Unidos e Canadá. O mercado afirmava possuir aproximadamente 153 milhões de registros de carteira de motorista, além de milhões de outros documentos de identificação.
Esse número não foi confirmado pelas autoridades IDScan.net canadenses como o número de pessoas afetadas pela violação da empresa. Relatórios sobre o mercado também indicaram que aproximadamente 1,1 milhão de buscas correspondiam a carteiras de motorista canadenses, mas o número exato de vítimas canadenses permanece desconhecido.
IDScan.net divulgou publicamente o incidente de segurança em 4 de setembro após receber informações por volta de 1º de setembro indicando que os dados poderiam ter sido acessados sem autorização. Posteriormente, a empresa determinou que um terceiro não autorizado pode ter acessado ou copiado informações de clientes armazenadas em contas na nuvem IDScan.net.
Informações potencialmente comprometidas incluem nomes completos e números de carteira de motorista ou outros números de identificação emitidos pelo governo. A coleção mais ampla anunciada online teria continha imagens digitais de documentos de identidade, embora as autoridades ainda não tenham estabelecido publicamente o escopo completo das informações retiradas de IDScan.net.
A empresa afirma que tem notificado indivíduos potencialmente afetados e oferece serviços gratuitos de monitoramento de crédito e proteção de identidade. O FBI também reconheceu ter investigado relatos relacionados aos documentos de identidade roubados.
A investigação do Canadá agora focará nas medidas de segurança do IDScan.net e em sua resposta ao incidente sob a Lei de Proteção de Informações Pessoais e Documentos Eletrônicos. O comissário de privacidade não forneceu um cronograma para concluir a investigação, citando a natureza ativa do caso.