Várias ações judiciais foram movidas contra a IDScan, especializada em verificação de identidade, após a alegação de que seu serviço foi invadido e de que dados de mais de 153 milhões de carteiras de motorista foram oferecidos para venda na dark web. As informações disponíveis indicam que o FBI iniciou uma investigação sobre o incidente, enquanto a empresa ainda não anunciou uma posição oficial a respeito.
O que supostamente vazou?
Um serviço criminoso na dark web chamado “Nexus” anunciou, em 1º de setembro de 2026, que possuía ou disponibilizava acesso a mais de 153 milhões de cópias de carteiras de motorista americanas e canadenses, além de 10 milhões de cartões de identidade, 3 milhões de documentos de viagem e 579 mil cartões médicos.
Brian Krebs informou que amostras do banco de dados puderam ser verificadas por meio da busca por seus próprios registros e pelos registros de pessoas que concordaram em realizar as verificações. De acordo com o rastreamento que realizou, os dados levaram à IDScan, uma empresa que fornece hardware e software para digitalizar, autenticar e extrair dados de documentos de identidade emitidos pelo governo.
Os sistemas da IDScan são usados por entidades que atuam em aluguel de veículos, varejo, lojas de armas, instituições financeiras, dispensários de cannabis e no setor de hotelaria nos Estados Unidos. Isso significa que as possíveis pessoas afetadas podem não ser clientes diretos da empresa, mas indivíduos cujos documentos foram digitalizados por empresas que utilizam seus sistemas.
Investigação oficial e ações judiciais na Louisiana
O FBI, por meio de seu escritório em Nova Orleans, confirmou que está analisando o incidente, mas se recusou a fornecer detalhes adicionais devido à continuidade da investigação. A Reuters havia confirmado de forma independente o início da investigação, de acordo com a matéria de origem.
As ações também foram movidas no estado da Louisiana, onde fica a sede da IDScan, e acusam a empresa de não proteger as informações obtidas de seus clientes, entre eles a empresa global de aluguel de veículos Hertz. Os escritórios Markovits, Stock & DeMarco e Hall Attorneys iniciaram investigações sobre a possibilidade de abrir uma ação coletiva, e a Markovits, Stock & DeMarco afirmou que a IDScan começou a notificar alguns de seus clientes empresariais por volta de 1º de setembro.
O que muda na prática?
O encerramento do serviço Nexus não significa que os dados desapareceram; a matéria informa que criminosos ainda possuem o banco de dados. Se sua dimensão for confirmada, o risco não se limita à exposição dos números dos documentos de identidade, mas se estende ao uso de cópias dos documentos em tentativas de roubo de identidade ou de contornar processos de verificação em outras instituições. No entanto, a fonte ainda não comprova quantas pessoas foram afetadas nem determina se os próprios sistemas da IDScan foram invadidos.
A matéria indica que dados atribuídos ao secretário de Defesa dos Estados Unidos, Pete Hegseth, e a um diretor-assistente do FBI apareceram no serviço, mas não conseguiu verificar essas informações. Também podem surgir ações adicionais ou ações coletivas, que talvez sejam posteriormente consolidadas em litígios multidistritais. Órgãos reguladores e procuradores-gerais estaduais podem abrir investigações separadas, mas isso continua sendo uma possibilidade, e não uma medida confirmada no momento.
A IDScan não publicou uma declaração sobre as alegações e não respondeu aos pedidos de comentário do BleepingComputer. Portanto, até a data de atualização da matéria, em 4 de setembro de 2026, o incidente permanece no âmbito de um suposto vazamento sob investigação, e não de uma invasão definitivamente comprovada.