Vazamento na IDScan: milhões de documentos à venda e o risco que vem dos fornecedores

No início de setembro de 2026, o jornalista Brian Krebs revelou um site na dark web que vendia acesso a mais de 153 milhões de carteiras de motorista escaneadas dos Estados Unidos e do Canadá, além de outros documentos de identidade. Krebs confirmou que os dados eram reais consultando o próprio registro e rastreou a origem até a IDScan.net, empresa americana que faz a checagem de documentos para locadoras de carros, varejistas e outros comércios.

O que se sabe até agora

• A IDScan publicou um aviso reconhecendo que um terceiro não autorizado pode ter acessado e copiado dados de clientes guardados na nuvem da empresa.
• Em comunicação a autoridades do estado de Illinois, a empresa informou que os invasores tiveram acesso aos sistemas por pelo menos cinco meses, entre 1º de abril e 2 de setembro de 2026.
• O FBI abriu uma investigação, e o comissário de privacidade do Canadá também passou a apurar o caso.

O elo mais fraco pode não ser você

As pessoas afetadas nunca escolheram a IDScan. Elas entregaram o documento a uma locadora ou a uma loja, que usava o serviço de verificação. É o chamado risco de terceiros: a empresa pode proteger bem os próprios sistemas e, ainda assim, expor os clientes por meio de um fornecedor.

No Brasil o cenário é parecido. Fintechs, aplicativos e empresas de todos os portes pedem selfie com documento para abrir conta ou liberar um serviço, e muitas vezes esse processo roda em empresas terceirizadas. Pela LGPD, quem coleta os dados continua responsável por eles, inclusive quando o tratamento é feito por um fornecedor.

Documento vazado não se troca como senha. Uma identidade exposta continua útil para golpistas por anos.

Perguntas para fazer aos seus fornecedores

• Onde ficam guardados os documentos e as selfies dos nossos clientes, e por quanto tempo?
• Quem tem acesso a esses dados e como os acessos são registrados?
• Os dados são apagados depois da verificação ou ficam retidos?
• O contrato define as obrigações do fornecedor em caso de incidente, incluindo o prazo para avisar?

Uma due diligence de fornecedores responde a essas perguntas antes da assinatura do contrato, e não depois do vazamento.

Fontes

KrebsOnSecurity: FBI Probes Service Selling 153M+ Drivers Licenses

TechCrunch: ID verification giant IDScan confirms data breach with more than 150 million driver’s licenses stolen

Help Net Security: IDScan confirms breach after 153 million driver’s licenses leak on dark web

This Week in Security: IDScan confirms hackers stole millions of driver’s licenses during data breach