El caso Nexus no es otra filtración de contraseñas. Trata de los documentos que la gente muestra precisamente para demostrar quién es: licencias de conducir, tarjetas de identidad, documentos de viaje, tarjetas médicas, rostros, códigos de barras, firmas y marcas de seguridad. KrebsOnSecurity informó que un nuevo servicio criminal ofrecía escaneos de más de 153 millones de licencias de EE. UU. y Canadá, además de millones de otros documentos. Según el reporte, el FBI en Nueva Orleans abrió una investigación y Nexus desapareció poco después.

Tarjetas de identidad anónimas protegidas por un escudo con iconos de borrado y candado

La respuesta correcta no es pánico. Es distinguir hechos confirmados, observaciones y alegaciones. Un escaneo de ID no se cambia como una contraseña. Contiene datos oficiales, imagen, firma, dirección histórica y señales de confianza que pueden seguir siendo útiles aunque el número del documento cambie.

Qué se sabe

Krebs reportó más de 153 millones de licencias, más de 10 millones de tarjetas de identidad, más de 3 millones de documentos de viaje o internacionales y al menos 579.000 tarjetas médicas. También describió una búsqueda vacía con unos 11,5 millones de páginas de resultados y un crecimiento rápido de registros. Esas cifras deben leerse como observaciones y claims reportados, no como total forense definitivo.

El propio Krebs encontró su licencia y describió imágenes frontales y traseras, incluidas versiones infrarrojas y ultravioletas. En varios casos de conocidos, los tiempos coincidían con viajes o alquileres. Por eso el riesgo no es teórico: los datos parecen venir de comprobaciones cotidianas.

Qué no está probado

La fuente exacta no está demostrada públicamente. El número de personas únicas afectadas, duplicados, antigüedad de registros y continuidad de la filtración siguen abiertos. IDScan.net fue señalado como posible fuente en la investigación de Krebs, pero la empresa no confirmó el alcance ni la naturaleza del acceso no autorizado en la información disponible.

Tampoco debe asumirse que toda empresa mencionada en materiales comerciales de un proveedor esté afectada. Krebs actualizó su artículo con una aclaración de Caesars, que dijo no ser cliente de IDScan.net y no usar VeriScan desde febrero de 2025.

Por qué estos datos son distintos

Un documento escaneado combina nombre, fecha de nacimiento, dirección, número, firma, fotografía, datos legibles por máquina y rasgos visuales de autenticidad. Puede alimentar ingeniería social, recuperación de cuentas, fraude de crédito, doxxing, acoso o controles débiles de identidad.

Cambiar la licencia puede ayudar en algunos casos, pero no borra la copia antigua. El rostro, la firma, la dirección pasada y la imagen siguen existiendo. Con tarjetas médicas o documentos de viaje, el daño potencial incluye salud, nacionalidad, hábitos de viaje o seguridad física.

Cómo se crean estos archivos

La persona cree que sólo alquila un coche, entra a un hotel, compra un producto regulado, pasa por una recepción o verifica edad online. Pero el sistema puede leer el código de barras, fotografiar ambas caras, capturar infrarrojo o ultravioleta, comparar rostro, consultar una API, guardar el resultado o guardar la imagen completa.

Desde privacidad, no es lo mismo mirar un documento que conservarlo. El diseño seguro prueba lo mínimo: mayoría de edad, documento aparentemente válido, visitante verificado hoy. El diseño arriesgado guarda copias completas durante años para una decisión que era básicamente sí/no.

Por qué los proveedores concentran riesgo

Los proveedores de verificación pueden ser útiles. Hay documentos falsos y sectores regulados. Pero un proveedor que toca alquileres, hoteles, dispensarios, accesos, finanzas y logística concentra material muy valioso. El usuario no elige al intermediario, no negocia retención y muchas veces ni ve su nombre.

Una herramienta que reduce fraude para cada cliente puede aumentar el riesgo agregado si se convierte en almacén central de documentos. La precisión del escáner no basta; importan minimización, cifrado, registros de acceso, límites de retención y borrado verificable.

Qué puede hacer una persona

No busques tus datos en mercados criminales ni en páginas que prometen comprobar la filtración pidiendo más información. Espera avisos oficiales de empresas donde escanearon tu ID. Desconfía de mensajes urgentes sobre reemplazo de documentos, hoteles, alquileres, reembolsos o verificación de edad.

En EE. UU., considera congelar crédito en Experian, Equifax y TransUnion. No detiene todo abuso, pero dificulta abrir nuevas cuentas. IdentityTheft.gov es el recurso central de la FTC si aparece uso indebido. Refuerza email, teléfono, banca, PIN del operador, alertas y MFA resistente al phishing cuando sea posible. En Canadá, sigue al Canadian Anti-Fraud Centre y autoridades pertinentes.

Qué debe hacer una empresa

Inventariar todo escaneo de ID. ¿Dónde se captura? ¿Quién recibe la imagen? ¿Se guardan ambas caras? ¿También infrarrojo o ultravioleta? ¿Durante cuánto tiempo? ¿Quién accede? ¿Se usa para entrenar modelos? ¿Hay subprocesadores? ¿Puede borrarse y auditarse el borrado?

Separar verificación de retención. Si sólo necesitas saber que alguien es mayor de edad, conservar una imagen completa durante años es difícil de defender. Si la ley exige retención, guarda lo mínimo y por el menor tiempo. Exige a proveedores diagrama de datos, calendario de retención, notificación de incidentes, auditorías, regiones de almacenamiento, claves gestionadas por cliente, API de borrado y reglas sobre entrenamiento.

Qué no hacer

No subas tu documento a sitios de “comprobación”. No llames a números de correos urgentes. No publiques capturas de tu ID. No supongas que Nexus desaparecido significa datos eliminados. Tampoco caigas en fatalismo: medidas aburridas como congelar crédito, revisar cuentas y endurecer recuperación sí reducen riesgo.

Conclusión

La lección no es escanear mejor, sino demostrar menos. Probar edad sin entregar dirección completa, comprobar acceso sin guardar ambas caras, verificar un documento sin conservar material para suplantación futura. La historia aún evoluciona, pero una cosa está clara: las copias de documentos no son residuos operativos. Son activos sensibles que merecen gobierno, minimización y planificación de brechas.