O maior vazamento conhecido de digitalizações de carteira de motorista da América do Norte colocou Caesars Entertainment e Circa Casino em destaque. Ambos os operadores de cassinos de Las Vegas apareceram no roster conhecido de clientes do provedor de verificação de identidade IDScan.net — Caesars na página pública de clientes/confiança da IDScan, Circa através de um case study sobre clientes de IDScan que usam o VeriScan da empresa para escanear IDs nas entradas para maiores de 21 anos.
Caesars Entertainment, proprietária do Caesars Palace, disse que o maior vazamento de digitalizações de carteira de motorista da América do Norte "não deveria ter nenhum impacto" em seus clientes. (Imagem: Caesars Entertainment)
Esta semana, o FBI abriu uma investigação sobre um enorme marketplace na dark web vendendo mais de 153 milhões de digitalizações de carteira de motorista dos EUA e Canadá que pesquisadores dizem terem sido provavelmente roubadas da IDScan, que não identificou nenhuma empresa como fonte dos arquivos roubados e não confirmou um vazamento de seus sistemas até quinta-feira de manhã (3 de setembro).
Caesars respondeu rapidamente. Em um comunicado, a empresa disse que não foi cliente da IDScan e não usou o sistema VeriScan da empresa desde fevereiro de 2025, bem mais de um ano antes do vazamento vir à tona.
"Como não tínhamos contas VeriScan ativas no momento do incidente e não autorizamos a IDScan.net a reter dados de nossas contas, a empresa nos informou que o incidente não deveria ter nenhum impacto em Caesars Entertainment", escreveu a empresa.
Circa não respondeu aos pedidos de Casino.org para comentar. Se responderem, atualizaremos esta história com sua resposta.
Nexus Point
Os registros vieram à tona depois que um serviço chamado Nexus foi anunciado no fórum de cibercrime em língua russa Exploit na segunda-feira (31 de agosto). Nexus reivindicou acesso pesquisável a documentos de identidade para mais de 170 milhões de pessoas, incluindo mais de 153 milhões de carteiras de motorista, mais de 10 milhões de carteiras de identidade, mais de três milhões de documentos de viagem e/ou IDs internacionais, e pelo menos 579.000 carteiras médicas.
Os operadores disseram que os dados vieram de uma "intrusão ativa" em um grande provedor de verificação de identidade. O jornalista de segurança Brian Krebs rastreou a possível fonte para IDScan.net, com sede em Nova Orleans, após comparar timestamps e tipos de scan com empresas que usam os sistemas da empresa.
IDScan disse estar investigando. Em um aviso ao cliente reportado após a história de Krebs, a empresa disse que havia recebido informações sugerindo que certas informações podem ter sido expostas, que IDScan.net pode estar implicada, e que estava trabalhando para determinar se ocorreu acesso não autorizado.
Krebs confirmou a autenticidade dos dados após encontrar sua própria carteira de motorista da Virgínia entre os registros. Os timestamps coincidiram com os momentos em que ele e sua mãe entregaram suas carteiras a um balcão da Hertz. (Hertz está entre as marcas que IDScan lista como usando seus serviços de verificação.)
Dentro de poucas horas do relatório de Krebs, o site Nexus desapareceu da dark web, sua página de login substituída por uma mensagem dizendo que o serviço não estava mais disponível.
Outras pessoas encontraram registros correspondentes. O pesquisador de segurança Zach Edwards disse que o timestamp em sua carteira coincidiu com uma visita à dispensária de Las Vegas da Planet 13. Em 2022, IDScan anunciou um acordo exclusivo de verificação de identidade com Planet 13.
O conjunto roubado também incluiu registros de altos funcionários dos EUA, incluindo o Secretário de Defesa Pete Hegseth e um assistente do diretor do FBI. O inventário anunciado do Nexus incluía centenas de milhares de Common Access Cards usados para acesso do Departamento de Defesa e outras instalações seguras.
O escritório do FBI em Nova Orleans abriu uma investigação na terça-feira (1º de setembro).
Perigo Único de Roubo de Identidade
O que torna este suposto vazamento unicamente insidioso é o tipo de dado roubado. O processo de autenticação da IDScan pode capturar seis imagens por documento: frente e verso sob luz visível, infravermelha e ultravioleta. Esses scans multiespectrais são as mesmas camadas de autenticação que bancos e agências governamentais usam para verificar que um documento é genuíno.
Arquivos vazados revisados por pesquisadores incluíram scans infravermelhos e ultravioleta, não apenas fotos ordinárias.
Possuir todas as seis imagens dá aos criminosos a "impressão digital espectral" completa de uma carteira real — um template capaz de derrotar os próprios sistemas projetados para detectar falsificações.
Além disso, substituir a carteira de motorista não elimina o perigo de roubo de identidade porque um novo número de carteira não apaga o antigo de todos os bancos, agências governamentais, balcões de aluguel ou sistemas de verificação que o armazenaram, e não invalida as imagens de luz visível, infravermelha e ultravioleta que foram capturadas.
O post Caesars Nega Exposição Enquanto FBI Investiga Roubo de 153 Milhões de Digitalizações de Carteira de Motorista apareceu primeiro em Casino.org.