📱 Tutorial
Tu licencia de conducir esta a la venta por $5 y el FBI ya investiga
El periodista Brian Krebs se sento a buscar su propia licencia de conducir en un mercado negro y la encontro. Con foto. Con infrarrojo. Con ultraviolet. Y con la marca de tiempo exacta del vuelo que hizo en junio de 2025 para un funeral familiar.
No la robo nadie de un buzon. No hubo hackeo de un banco. Ella mismo se la entrego a un tercero el dia que alquilo un carro en Hertz. Y no fue el unico. Hay 153 millones de licencias de conducir de Estados Unidos y Canada a la venta en un foro ruso de cibercriminales, con fotos de frente y reverso, y el FBI ya abrio una investigacion oficial.
Esto no es una filtracion de una red social que vendes en un cafe. Es la infraestructura de verificacion de identidad entera, convertida en mercancia.
El mercado: Nexus, un proyecto con nombre de crecimiento
Todo empezo el 31 de agosto, cuando un usuario nuevo abrio su puesto en el foro Exploit y ofrecio algo que los investigadores de ciberseguridad no habian visto en esa escala. El servicio se llama Nexus.
Lo que ofrece, segun Krebs, es esto:
- 153 millones de licencias de conducir de EE.UU. y Canada
- Mas de 10 millones de tarjetas de identidad
- Mas de 3 millones de documentos de viaje y pasaportes internacionales
- Al menos 579,000 tarjetas medicas
Y hay un detalle que asusta mas que las cifras: el numero de registros aumento en casi 400,000 en 24 horas. Eso significa que la filtracion no es un archivo viejo revuelto en un foro. Alguien esta extrayendo datos frescos de forma activa y subiéndolos a diario.
El propio vendedor lo dijo sin ninguna pena en su primer mensaje: "Llevamos mas de un ano extrayendo datos continuamente hacia nuestra base de datos privada."
Por que hay datos de cannabis en el medio
Esto es lo que hace la historia tan confusa. Entre los documentos no hay solo licencias de conducir. Tambien hay tarjetas de dispensarios de cannabis. La explicacion sale del campo "source" de cada registro:
Un registro marcado "CDL" es, casi con seguridad, licencia de conductor comercial. Otro marcado "CAC" apunta a las Common Access Cards: las tarjetas de identidad militar de Estados Unidos que dan acceso fisico a edificios gubernamentales y salas seguras.
La pieza que cierra el rompecabezas la puso un investigador de Cybera llamado Larry Baldwin: en el escaneo de su licencia aparecia una fecha que coincidia con un alquiler de carro en Hertz. Con eso, y con la lista de clientes que la propia empresa publica, la cadena quedo clara.
IDScan: el intermediario que nadie audito
La empresa en el centro de todo esto se llama IDScan, con base en New Orleans. Su web dice que verifica identidades para Hertz, Target, FedEx, Motorola Solutions, Jack Henry y Caesars Entertainment. Y tambien para mas de 1,000 dispensarios de cannabis en 19 estados.
Su tecnologia escanea documentos con luz infrarroja y ultravioleta. Suena sofisticado, y lo es. Ese es precisamente el problema: guardan copias de documentos de identidad con tecnologia de calidad de laboratorio, para miles de clientes, y no saben de donde salio la filtracion.
Krebs les escribio. La unica respuesta de IDScan fue: "En este momento no puedo compartir informacion adicional."
Mientras tanto, la oficina de New Orleans del FBI abrio una investigacion oficial ese mismo dia. Krebs fue agregado a una llamada con media docena de agentes, incluyendo jefes de la division cibernetica.
Por que esto importa mas alla de tu identidad
Lo que viene despues es lo que de verdad da miedo, y no es el fraude al titular.
Las licencias de conducir son la prueba de identidad mas usada del mundo. Se usan para abrir lineas de credito, para arrendar un vehiculo, para vender en un marketplace, para publicar un anuncio. Pero tambien para encontrar personas que necesitan desaparecer.
Baldwin lo dijo sin rodeos: el servicio expone a personas que huyen de violencia domestica y a testigos bajo proteccion del gobierno de Estados Unidos, gente a la que se le asigno una identidad nueva precisamente porque su vida anterior no debe encontrarse. Y anadio el detalle tecnico que lo deja sin salida:
"No pueden cambiar su aspecto de forma significativa, o al menos no lo suficiente para enganar a las herramientas modernas de reconocimiento facial basado en IA."
Traducido: puedes cambiar tu nombre, tu banco, tu direccion. No puedes cambiar tu cara.
Tu licencia esta expuesta? Estas son las 4 formas de saberlo
Primero, lo obvio: si alquilaste un carro, te encontraste con un hotel, o pasaste por cualquier verificacion con foto en Estados Unidos en los ultimos anos, hay probabilidad razonable de que estes dentro. El timestamp de Krebs coincidio con un vuelo, pero tambien con un alquiler. El dato viene de donde la gente deja su documento: alquiler de autos, hoteles y los puntos de control, no solo de un solo lugar.
Segundo, busca estos canales de forma directa:
- El portal permite previsualizar registros con datos ocultos antes de comprar, y las coincidencias se pueden filtrar por numero de licencia y estado
- KrebsOnSecurity publico una guia de verificacion para comprobar si tu registro aparece en la base filtrada
- Tu foto en redes publicas: compara la foto de tu licencia con tus perfiles abiertos, para saber que tan expuesta esta tu imagen
Tercero, si ya confirmas que tu informacion esta ahi, el fraude de identidad NO es lo unico que deberias temer. Presentate como victima de robo de identidad y solicita alerta de fraude crediticio. En Estados Unidos esto se hace ante los tres bureaux de credito: Equifax, Experian y TransUnion.
Y cuarto — el punto que los medios estan pasando por alto — si tienes un caso de violencia domestica, un procedimiento de refugio, o eres un testigo protegido, no pongas ningun dato en manos de un portal de terceros. Contacta directamente a tu fiscal o a la asistencia legal del distrito. Tu informacion no es tuya si el estado te la confio a ti.
El origen: por que tu cara de licencia se multiplica por todas partes
La explicacion de fondo la dio el FBI en la llamada con Krebs, y es tan simple como aterradora: cada vez que abres una app de banco, alquilas un carro, registras un hotel, pones un paquete o pides un platillo, un tercero te pide la licencia con foto, a veces fototeando la parte de atras con luz UV para verificar que no este manipulada.
Cada uno de esos terceros se lleva una copia. Y la mayoria de ellos no undergoes el mismo rigor de seguridad que un banco.
Por eso el robo de identidad ya no empieza con un portal de phishing, sino con una foto de tu cedula que le diste a un comprobador de cannabis porque era el unico lugar abierto a las 11 de la noche.
La opinion incomoda: el problema es el modelo, no los hackers
Podriamos hablar de los hackers celebres y seguir adelante. Pero el problema de fondo no es un grupo de cipinadores. Es que el mundo entero decidio que verificar la edad de una persona es tan importante que hay que regalar el documento original a cada aplicacion que se cruza.
Y no es casual: esa proliferacion viene casi siempre por la obligacion de retencion de menores en linea, por la idea de que "proteger a los ninos" exige escanear documentos reales. Como dijo un agente del FBI a Krebs, esos sistemas estan metiendo datos sensibles en mas y mas proveedores de terceros, y "no tenemos ni de lejos la supervision para asegurar que estan a salvo."
Mi opinion: esto se va a repetir. No porque los hackers sean imbatables, sino porque cada app nueva que exige verificacion de edad esta hecha de decisiones individuales que, sumadas, crean un archivo de identificacion de mil millones de personas repartido en miles de empresas que nunca fueron auditadas.
El parche mas evidente existe y nadie lo implementa: una identificacion digital verificable, firmada criptograficamente por el estado, que nunca exponga la imagen original. La tecnologia ya esta probada en pilotos de govtech. Pero mientras el esquema actual sea "muestra tu cedula a la app, la app la guarda, y donde queda eso despues nunca se sabe", la proxima filtracion de mil millones es solo cuestion de tiempo.
Y mientras tanto, la leccion mas dura de esta historia no es sobre cibercriminales sino sobre algo mucho mas inquietante: tu licencia de manejar no es un documento, es tu rostro, tu direccion y tu capacidad de desaparecer. Y ya esta en venta publica a cinco dolares.
Comparte esto con alguien que "solo mostro la licencia una vez" en una app. Y cuéntame en los comentarios: ¿te la han pedido en algún lugar que no era un banco, un hotel o una agencia de alquiler?