Nexus vende 153 millones de licencias de conducir: las fechas coinciden con el día que alquilaste un auto
Un servicio de la dark web ofrece fotografías de documentos de identidad de más de 153 millones de personas en Estados Unidos y Canadá —frente, dorso, infrarrojo, ultravioleta— con la fecha grabada en el nombre del archivo. El rastro lleva a un mostrador de alquiler de autos.
En junio pasado, un hombre voló al medio oeste de Estados Unidos para el funeral de un familiar, aterrizó y retiró un auto alquilado. Le entregó su licencia de conducir a la empleada del mostrador de Hertz. Ella la sostuvo detrás del mostrador un par de minutos mientras se firmaban los formularios, y luego se la devolvió. Eso fue todo. Nadie tipeó nada en un sitio web, ninguna contraseña se reutilizó, ningún enlace de phishing se abrió.
Esta semana apareció a la venta una foto de esa licencia —frente y dorso, más las versiones infrarroja y ultravioleta de la misma imagen— en un servicio de la dark web llamado Nexus, con la fecha y hora exactas de ese alquiler pegadas al nombre del archivo. El hombre es el periodista de KrebsOnSecurity que destapó la historia; su licencia de Virginia se ofreció como muestra gratis en el primer posteo del vendedor en Exploit, un foro ruso de cibercrimen. El mismo servicio dice tener más de 153 millones de licencias de conducir de Estados Unidos y Canadá, más de 10 millones de cédulas de identidad, más de 3 millones de documentos de viaje y al menos 579.000 credenciales médicas. Una búsqueda en blanco, sin ningún parámetro, devuelve unas 11,5 millones de páginas de resultados. Uno de esos registros pertenece al secretario de Defensa de Estados Unidos, Pete Hegseth.
El 1 de septiembre, la oficina de Nueva Orleans del FBI abrió una investigación oficial sobre el origen de las imágenes. El reporteo de KrebsOnSecurity apunta a una empresa de verificación de identidad muy usada, con sede en Luisiana. La compañía, idscan.net, con base en Nueva Orleans, dice que está investigando.
Esto no es el tipo de filtración que la gente ya aprendió a encogerse de hombros. Lo que se filtró no es una lista de correos electrónicos y contraseñas encriptadas: es la foto del documento en sí, en la forma exacta que usa una máquina para decidir si una licencia es real. La propia documentación de idscan.net dice que su tecnología escanea documentos con luz infrarroja y ultravioleta. Los registros a la venta traen seis archivos de imagen: tres pares de frente y dorso, un escaneo simple, uno infrarrojo, uno ultravioleta. Las capas que existen justamente para detectar una falsificación están, aparentemente, en el menú.
Una contraseña se cambia en treinta segundos. Una cara dura toda la vida.
Después está la parte que convierte una filtración de datos en algo más parecido a vigilancia. Cada imagen lleva una fecha y una hora en el nombre del archivo, y la zona horaria parece ser GMT. El periodista pidió permiso a más de una docena de amigos y familiares para buscar sus nombres; nueve aparecían, y los nueve confirmaron haber viajado justo en la fecha marcada en su archivo, o muy cerca de ella. Uno de ellos ni siquiera había volado: tenía un auto de Hertz alquilado durante varios meses alrededor de esa fecha. Dos eran empleados federales que mostraron otra identificación oficial en el control de seguridad del aeropuerto, y después entregaron su licencia estatal en un mostrador de Hertz al llegar. Así que el conjunto de datos no es solo quién eres. Es dónde estabas, y cuándo.
Y el grifo parece seguir abierto. En 24 horas, la cantidad de licencias listadas creció en casi 400.000. Los vendedores escribieron en su publicación de venta: 'Hemos estado extrayendo datos nuevos de forma continua durante más de un año hacia nuestra base de datos privada'. Aseguran que la fuente es una brecha activa en 'una importante empresa de verificación de identidad' cuyos clientes incluyen a varias compañías del Fortune 500. Si eso es cierto, la filtración no es un hecho del pasado que haya que limpiar. Es una suscripción.
Cualquiera que alguna vez haya puesto una tarjeta plástica en las manos de un desconocido en un mostrador —es decir, casi cualquiera— y no cuesta nada estar en esta lista. No hace falta tener cuenta bancaria, cartera de inversiones ni un solo satoshi de criptomonedas. Un chico de 24 años que alquiló un auto para un viaje por carretera, mostró su identificación en un dispensario de cannabis en Las Vegas o se registró en un hotel está exactamente en la misma posición que el dueño de una casa con ahorros: el escaneo se tomó una sola vez y quedó guardado en algún lugar que ninguno de los dos eligió. El investigador de seguridad Zach Edwards encontró su propia licencia a la venta, con fecha y hora en medio de su viaje a DEFCON el mes pasado; él no alquiló ningún auto, pero entregó su identificación a un agente de la TSA, a un hotel y a un dispensario, y el único lugar del que está seguro de que la pasaron por un lector es el dispensario, una tienda de la cadena Planet13. También hay canadienses: cerca de 1,1 millones de licencias, de las cuales 473.673 son de Ontario. Y la lista no ordena por importancia: la licencia del secretario de Defensa está en el mismo índice buscable que la de cualquier estudiante.
Tres cosas concretas para seguir, y a ninguna se le puso todavía una fecha límite. Primero, la oficina del FBI en Nueva Orleans abrió su investigación el 1 de septiembre sobre el origen de las imágenes; no se dijo cuándo va a informar resultados. Segundo, idscan.net —que dice realizar más de 21 millones de verificaciones al mes en más de 20.000 ubicaciones en todo el mundo, y cuya página de 'confianza' incluye a Hertz, Target, FedEx, Motorola Solutions, Jack Henry y Caesars Entertainment— no respondió preguntas específicas. Jillian Kossman, a cargo de marketing y operaciones en la empresa, escribió: 'Por el momento no puedo compartir información adicional, pero las actualizaciones que ustedes nos aportaron fueron bienvenidas y útiles para la investigación de nuestro equipo'. Tercero, se le pidió una declaración a Hertz y todavía no respondió; KrebsOnSecurity dijo que va a actualizar la nota si lo hace. El número más simple para seguir es el contador del propio servicio: subió casi 400.000 licencias en un solo día. Si sigue subiendo, lo que sea que esté sangrando datos no se cerró.
El periodista también encontró ahí la licencia de su madre. Las marcas de hora de los dos difieren por apenas unos segundos, porque entregaron sus dos licencias a la misma empleada del mostrador, en el mismo momento. Ella dice que ese mostrador fue el único lugar donde mostró su identificación ese día. Dos personas, un mostrador, un minuto de junio. Ahora indexado y buscable por desconocidos, y a ninguno de los dos le preguntaron nunca cuánto tiempo se iba a guardar esa foto.
Fuentes: Krebs on Security, 'FBI Probes Service Selling 153M+ Drivers Licenses', 1 de septiembre de 2026.
Elegimos esta historia porque 153 millones de escaneos de licencias de conducir —con fotos, capas infrarroja y ultravioleta, y fechas atadas a viajes reales— están a la venta en un foro de la dark web, y todo indica que la fuga sale de una empresa que verificaba identidades al alquilar autos: alguien que nunca tocó una cripto igual mostró alguna vez su licencia en un mostrador de alquiler.
Escrito por la redacción de IA de THE TELL. cómo trabajamos · correcciones