Un servizio criminale chiamato Nexus ha messo in vendita sul dark web le scansioni dei documenti d'identità di oltre 170 milioni di persone in Nord America, attribuendole a IDScan.net, una società della Louisiana specializzata nella verifica dell'identità in presenza. L'FBI ha aperto un'indagine, quattro class action sono già state depositate e il servizio è andato offline. Ma il dato più interessante per chi lavora sulla sicurezza in Europa non è la dimensione: è cosa contenevano esattamente quelle scansioni.

I fatti

La vicenda è stata portata alla luce il 1º settembre 2026 dal giornalista investigativo Brian Krebs, che ha documentato l'esistenza del marketplace Nexus e ne ha verificato i contenuti in modo diretto: ha cercato i propri dati e quelli di persone che avevano dato il consenso, trovandoli. Il catalogo pubblicizzato comprendeva:

  • 153 milioni di patenti di guida statunitensi e canadesi
  • 10 milioni di carte d'identità
  • 3 milioni di documenti di viaggio
  • 579.000 tessere sanitarie, comprese quelle per l'accesso ai dispensari di cannabis terapeutica

Krebs ha ritenuto la cifra di 153 milioni credibile: una ricerca a vuoto sulla piattaforma restituiva 11,5 milioni di pagine di risultati con circa quindici risultati per pagina. Tra i documenti in vendita figurava la patente del segretario alla Difesa statunitense Pete Hegseth, offerta a 100 dollari. La propria patente della Virginia, Krebs l'ha trovata pubblicizzata come campione gratuito su un forum criminale russofono.

Il punto tecnico decisivo sta nella composizione di ogni singolo record. Krebs riporta che il proprio conteneva sei file immagine: tre coppie fronte-retro del documento, ovvero una scansione ottica normale e, in aggiunta, le versioni a infrarossi e a ultravioletti dello stesso documento.

IDScan.net dichiara di eseguire oltre 21 milioni di verifiche al mese in più di 20.000 sedi, servendo catene come Hertz, FedEx, Target e migliaia di dispensari. La società non ha confermato l'accesso non autorizzato né la portata dell'incidente: ha parlato di un'indagine in corso e, secondo un lettore di KrebsOnSecurity, ha iniziato a inviare notifiche di "potenziale incidente di sicurezza" precisando di non aver raggiunto conclusioni sulla natura o sull'ampiezza dei fatti. L'ufficio FBI di New Orleans ha confermato di aver aperto un'indagine. Il 2 settembre quattro class action sono state depositate presso la U.S. District Court per il distretto orientale della Louisiana. Poco dopo l'articolo di Krebs, Nexus è stato chiuso — ma il database resta nelle mani di chi lo aveva.

Perché infrarosso e ultravioletto cambiano tutto

Questa è la parte che nella cronaca passa quasi sempre inosservata, e che secondo me rende questo caso qualitativamente diverso dall'ennesima fuga di dati anagrafici.

Una scansione ottica di una patente contiene nome, data di nascita, indirizzo, numero del documento e fotografia. Sono dati preziosi per il furto d'identità, ma statici: circolano già in enormi quantità da vent'anni di violazioni.

Le immagini a infrarossi e a ultravioletti sono un'altra cosa. Sono precisamente le rappresentazioni che i lettori automatici di documenti usano per verificare l'autenticità: inchiostri reattivi agli UV, elementi di sicurezza visibili solo nell'infrarosso, pattern di stampa che nella luce visibile non si distinguono. Averle significa possedere la mappa completa degli elementi antifalsificazione di quel documento specifico.

Le conseguenze pratiche sono due. La prima: chi produce documenti falsi ottiene un riferimento per replicare esattamente gli elementi che i controlli automatici cercano. La seconda, più immediata: molti processi di onboarding digitale e KYC — apertura conti, servizi finanziari, verifiche di età, noleggi — chiedono all'utente di inviare la foto del documento e, in alcune implementazioni, immagini catturate in condizioni particolari. Un dataset che contiene già tutte le viste attese di un documento reale è materiale ideale per superare quei controlli senza possedere il documento fisico.

In altre parole: qui non è stata sottratta l'identità delle persone. È stato sottratto il meccanismo con cui si verifica che un'identità sia autentica.

Cosa significa per le aziende italiane

Il dataset è nordamericano e nessun cittadino italiano è direttamente coinvolto. Ma il modello di business che ha prodotto questo incidente in Italia sta crescendo proprio adesso, ed è qui che l'episodio va letto come avvertimento.

La scansione del documento d'identità in Italia è ormai una routine in una quantità di contesti: check-in alberghiero, autonoleggio, palestre e centri sportivi, coworking, portierati digitali, punti vendita che aprono contratti, e sempre di più nella verifica dell'età per l'accesso a contenuti riservati agli adulti, che l'AGCOM ha reso obbligatoria con il meccanismo del doppio anonimato. In parallelo, i processi di apertura conto e sottoscrizione di servizi finanziari sono passati quasi interamente al riconoscimento da remoto con acquisizione delle immagini del documento.

Il rischio strutturale è sempre lo stesso: le organizzazioni conservano la scansione dopo che la verifica è finita. Il documento viene acquisito per rispondere a una domanda binaria — questa persona è chi dice di essere, ha l'età richiesta — ma l'immagine resta nel gestionale, nel gestionale del fornitore, nel backup del fornitore, per anni. Ogni copia è un archivio che, aggregato su migliaia di clienti, diventa esattamente quello che è finito in vendita su Nexus.

Sul piano giuridico il GDPR è netto e viene applicato poco. Il principio di minimizzazione (art. 5.1.c) impone di trattare solo i dati necessari; la limitazione della conservazione (art. 5.1.e) impone di cancellarli quando la finalità è esaurita. Se la finalità è "verificare che il cliente sia maggiorenne", la conservazione della scansione integrale del documento dopo la verifica è difficile da giustificare: la finalità si esaurisce nell'istante in cui la verifica è avvenuta. Diverso il caso degli obblighi antiriciclaggio, dove la conservazione decennale è imposta per legge — ma proprio per questo va delimitata a quel perimetro e non estesa per comodità a tutti i clienti.

C'è poi il tema del fornitore. Chi appalta la verifica dell'identità a una piattaforma esterna resta titolare del trattamento; il fornitore è responsabile ex art. 28. Il contratto deve dire in modo esplicito dove sono conservate le immagini, per quanto tempo, con quale cifratura, chi vi accede e in quanto tempo il fornitore comunica un incidente. Nel caso IDScan i clienti sono catene molto note e nessuna di esse, presumibilmente, sapeva che ogni scansione veniva conservata anche nelle versioni infrarosso e ultravioletto.

Vale infine la pena notare che l'Europa sta costruendo l'alternativa architetturale: il wallet europeo di identità digitale previsto dal regolamento eIDAS 2, che permetterà di dimostrare un attributo — la maggiore età, la residenza — senza trasmettere il documento. È l'unico approccio che elimina il problema alla radice, perché ciò che non viene raccolto non può essere rubato.

Cosa fare subito

  • Censire dove finiscono le scansioni dei documenti raccolte dall'organizzazione: gestionale, posta elettronica, cartelle condivise, chat aziendali, backup, piattaforma del fornitore. Nella maggior parte dei casi le copie sono più di quante ci si aspetti.
  • Definire e applicare un tempo di conservazione, distinguendo i casi in cui la legge impone la conservazione (antiriciclaggio, Alloggiati Web) da quelli in cui l'immagine serviva solo alla verifica. Nel secondo caso: cancellazione dopo l'esito.
  • Sostituire la conservazione dell'immagine con la registrazione dell'esito dove è possibile: annotare che la verifica è avvenuta, da chi, quando e con quale metodo, senza tenere il documento.
  • Non acquisire più del necessario: se serve solo la data di nascita, oscurare il resto in acquisizione. Le versioni infrarosso e ultravioletto, quando il lettore le produce, non devono essere conservate una volta completata l'autenticazione.
  • Rivedere i contratti con i fornitori di verifica dell'identità ai sensi dell'art. 28 GDPR, chiedendo in modo esplicito: luogo di conservazione, durata, cifratura a riposo, elenco di chi accede, tempi di notifica di un incidente e diritto di audit.
  • Cifrare gli archivi di documenti ancora necessari e separarli dai dati anagrafici, in modo che una singola compromissione non restituisca l'insieme completo.
  • Includere il fornitore di identity verification nell'analisi dei rischi di terze parti: per i soggetti NIS2 la sicurezza della catena di fornitura è un obbligo esplicito, non una buona pratica.

Il caso IDScan è un promemoria scomodo: le aziende che raccolgono documenti d'identità per proteggersi dalle frodi stanno costruendo, senza volerlo, gli archivi che rendono possibili le frodi successive. La difesa migliore resta quella meno costosa — non conservare ciò che non serve più.