Secondo Pierluigi Paganini su Security Affairs, il caso Nexus segna un salto di scala nella vulnerabilità degli ecosistemi di verifica dell’identità in Nord America: non si parla più soltanto di furto di dati personali in senso tradizionale, ma della possibile esposizione industrializzata di oltre 153 milioni di patenti scannerizzate tra Stati Uniti e Canada, con un archivio che include anche carte di identità, documenti di viaggio e tessere sanitarie. Se confermata nella sua ampiezza, questa operazione rappresenterebbe una delle più grandi compromissioni mai registrate di documenti di identità emessi da governi.
Il punto geostrategico più rilevante è che il bersaglio apparente non è un singolo consumatore o una singola azienda, ma l’intera infrastruttura diffusa della fiducia documentale. La fonte della fuga sarebbe riconducibile a idscan.net, societa’ di New Orleans specializzata in identity verification e attiva in settori estremamente diversi – autonoleggi, retail, hotellerie, servizi finanziari, dispensari di cannabis. Questo spiega non solo la vastità del dataset, ma anche la sua profondità trasversale: ogni punto di controllo dell’identità diventa un nodo di accumulazione di dati sensibili, e quindi un possibile punto di fallimento sistemico.
L’elemento più inquietante è la qualità del materiale trafugato. Come riporta Security Affairs, ogni record conterrebbe sei immagini della patente, fronte e retro, in luce visibile, infrarossa e ultravioletta, corredate da timestamp. Questo significa che non siamo davanti a una semplice lista di numeri documento, ma a un archivio ad alta fedeltà capace di alimentare frodi documentali avanzate, impersonificazione, attività di social engineering e possibili bypass di sistemi di verifica che si basano proprio su immagini di documenti autentici. La digitalizzazione della fiducia, in questo caso, produce anche la digitalizzazione della falsificabilità.
Un secondo dato cruciale riguarda il fatto che il database sarebbe cresciuto di circa 400.000 record al giorno, segno – secondo gli operatori del servizio criminale – di una esfiltrazione ancora in corso da oltre un anno. Se questa rivendicazione fosse fondata, il caso non sarebbe soltanto un incidente, ma una compromissione persistente di lungo periodo. Questo cambia la natura della minaccia: non più una violazione puntuale da contenere, ma un accesso continuo a un flusso vivo di identità documentali, con la possibilità di aggiornare, arricchire e monetizzare il dataset nel tempo.
C’è poi un passaggio che amplia ulteriormente la portata strategica del caso. Sempre secondo Security Affairs, nel materiale sarebbero comparsi anche documenti attribuiti a figure di primo piano dell’amministrazione americana, compreso il segretario alla Difesa e un alto dirigente dell’FBI. Inoltre, il riferimento a record marcati “CAC” potrebbe indicare la presenza di Common Access Cards, cioè credenziali governative utilizzate per accedere a edifici federali e strutture protette. Se questo venisse confermato, la questione uscirebbe immediatamente dal perimetro della criminalità economica o del semplice identity theft per entrare in quello della sicurezza nazionale.
I sistemi di verifica dell’identità stanno moltiplicando copie di documenti sensibili attraverso una rete sempre più ampia di fornitori terzi, senza che i meccanismi di oversight si siano evoluti con la stessa velocità. Ogni hotel, autonoleggio, bar, dispensario o sistema di age verification che scansiona un documento crea una replica in un’infrastruttura che il titolare del documento non può valutare, controllare o verificare. In altre parole, la sicurezza dell’identità personale è ormai esternalizzata a una supply chain opaca della verifica.
Questo ha implicazioni geopolitiche più ampie. La diffusione di reti private di identity verification ad altissimo volume crea un nuovo tipo di superficie critica: meno visibile di una rete elettrica o di un sistema bancario, ma altrettanto strategica per il funzionamento di economie digitali, controlli di accesso, mobilità, servizi e procedure di compliance. Se queste infrastrutture vengono penetrate, il danno non si limita ai singoli utenti: viene colpita la fiducia operativa nei sistemi di autenticazione su cui si reggono mercati, istituzioni e servizi.
Il fatto che il servizio Nexus sia andato offline poco dopo la pubblicazione delle inchieste e che l’FBI abbia aperto un’indagine formale non riduce il peso del segnale. Anzi, come osserva Pierluigi Paganini, mostra quanto l’intera filiera della verifica documentale sia ormai diventata un obiettivo ad alto valore. La vulnerabilità non riguarda solo chi custodisce dati, ma chi custodisce le prove digitali dell’identità fisica.
Il caso Nexus mostra che l’identità documentale sta diventando una infrastruttura critica della sicurezza contemporanea. Non siamo più davanti a semplici fughe di dati, ma a un possibile mercato criminale della prova d’identità, capace di incidere su frode, sorveglianza, accesso a spazi sensibili e sicurezza istituzionale. La vera questione non è soltanto chi abbia violato il sistema, ma se gli Stati e le aziende abbiano compreso che la verifica dell’identità e’ ormai uno dei punti più fragili e strategici dell’ordine digitale.
M.E.
The Global Eye è in partnership con SIOI – Società Italiana per l’Organizzazione Internazionale
