El pasado mes de julio, fuentes de ciberseguridad informaron que IDScan, empresa de verificación de identidad, sufrió una intrusión que resultó en la exposición de más de 153 millones de registros de licencias de conducir. Los atacantes, según los demandantes, accedieron a la base de datos a través de un servidor expuesto y pusieron a la venta los datos en foros clandestinos. La filtración ha desencadenado al menos ocho demandas colectivas en EE. UU. y varias investigaciones regulatorias.

Qué sabemos hasta ahora

Según los documentos judiciales, los demandantes afirman que los hackers obtuvieron acceso a la infraestructura de IDScan mediante credenciales comprometidas, lo que les permitió extraer una copia completa de la tabla drivers_license. La información filtrada incluye nombre completo, dirección, número de licencia, fecha de nacimiento y, en algunos casos, fotografías de los titulares.

El grupo responsable habría contactado a la empresa a través de un canal de correo electrónico anónimo, ofreciendo vender la base de datos por $500,000. IDScan negó inicialmente la existencia de una brecha, pero los registros de la demanda indican que la compañía recibió la oferta el 12 de junio y que la extracción de datos se completó antes del 5 de junio.

Análisis técnico

Los investigadores de seguridad que revisaron el caso sospechan que el vector inicial fue una vulnerabilidad de configuración en un bucket de Amazon S3 sin cifrado ni políticas de acceso restrictivas. El bucket, identificado por la dirección s3://idscan-data-bucket, estaba accesible públicamente, lo que permitió a los atacantes listar y descargar objetos mediante comandos como aws s3 cp s3://idscan-data-bucket/drivers_license_dump.sql .. No se ha encontrado un CVE específico asociado, pero la exposición se alinea con errores de configuración típicos (CWE‑200).

Una vez obtenidos los datos, los actores maliciosos emplearon herramientas de extracción masiva y scripts de Python para parsear la tabla SQL y generar archivos CSV. Los hashes de algunos archivos de la filtración fueron publicados en el foro 0x00sec, con valores SHA‑256 como e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855, aunque no se ha verificado su autenticidad.

“La exposición de 153 millones de licencias de conducir representa uno de los mayores robos de datos personales en la historia reciente de la verificación de identidad”, declaró el abogado de los demandantes.

Impacto y alcance

El ataque a IDScan compromete más de 1,200 sistemas críticos en hospitales, clínicas y agencias gubernamentales de EE. UU. La filtración de 153 millones de licencias de identificación no solo expone datos personales, sino que permite la falsificación de credenciales de acceso a infraestructuras sanitarias, lo que podría traducirse en ataques de ransomware o manipulación de historiales médicos. Según estimaciones preliminares,

Los principales objetivos son pacientes, profesionales de la salud y empleados públicos; sus datos incluyen nombres completos, fechas de nacimiento, números de seguridad social y, en algunos casos, historiales de vacunación. Hasta la fecha, no se ha detectado un exploit público que automatice la generación de credenciales falsas, pero los foros de cibercriminales ya discuten módulos de “credential stuffing” basados en los volúmenes filtrados.

¿Cómo afecta esto a LATAM?

En México, Colombia y Argentina, cientos de instituciones ya utilizan la plataforma de verificación de identidad de IDScan para validar pacientes y empleados. La exposición de esas licencias abre la puerta a fraudes en la emisión de documentos oficiales y a la suplantación de identidad en sistemas de salud pública, lo que colisiona directamente con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) en México y la Ley de Protección de Datos Personales (LPDP) en Argentina.

La región está particularmente vulnerable porque muchas de estas organizaciones operan con infraestructuras heredadas y recursos limitados para la gestión de vulnerabilidades. Además, la falta de una normativa unificada sobre la gestión de identidades digitales en LATAM dificulta una respuesta coordinada, dejando a miles de pacientes sin garantías de privacidad.

Qué deben hacer los equipos de seguridad

  • Realizar un inventario exhaustivo de todas las integraciones con IDScan. Identificar cada punto de contacto (APIs, SDKs, flujos de autenticación) permite aislar rápidamente los sistemas comprometidos y aplicar mitigaciones específicas.
  • Revocar y re‑emitir todas las credenciales basadas en los datos filtrados. Generar nuevas claves de API y tokens de acceso, y forzar el restablecimiento de contraseñas de usuarios que dependían de esas licencias.
  • Implementar autenticación multifactor (MFA) en todos los accesos críticos. Incluso si un atacante posee una licencia válida, la capa adicional de MFA dificulta la explotación sin el segundo factor.
  • Desplegar detección de anomalías en la actividad de login. Configurar alertas para intentos de acceso desde ubicaciones inusuales o con patrones de “credential stuffing” que indiquen uso masivo de credenciales robadas.
  • Actualizar los sistemas de gestión de identidades (IAM) con listas de bloqueo (blocklists) de credenciales comprometidas. Integrar feeds de inteligencia de amenazas que incluyan los hashes de las licencias filtradas.
  • Ejecutar pruebas de penetración centradas en la falsificación de identidades. Simular ataques que utilicen los datos filtrados para validar la resistencia de los procesos de verificación de pacientes y empleados.
  • Comunicar de forma transparente a los usuarios afectados. Notificar a pacientes y personal sobre la brecha, ofrecer servicios de monitoreo de identidad y guías de protección contra el robo de identidad.
  • Revisar y reforzar los contratos con proveedores. Exigir cláusulas de seguridad y auditorías continuas a terceros como IDScan para evitar futuras dependencias de soluciones vulnerables.

Contexto histórico

Incidentes como el de Equifax (2017) y la filtración de datos de la empresa de salud Change Healthcare (2023) mostraron que la exposición masiva de identificadores personales es un objetivo lucrativo para los cibercriminales. El caso de IDScan confirma la tendencia creciente de ataques dirigidos a proveedores de infraestructura de identidad, donde el valor de los datos radica en su capacidad de “saltarse” controles de acceso.

De cara al futuro, se espera que los atacantes apunten cada vez más a la cadena de suministro de identidades digitales, forzando a las organizaciones a adoptar modelos de confianza cero y a diversificar sus proveedores de verificación.

Reflexión

Si un hospital en Guadalajara no puede validar la identidad de sus pacientes porque sus credenciales fueron falsificadas, ¿quién asumirá la responsabilidad de los errores médicos que puedan derivarse? La pregunta no es si tu organización será atacada, sino si tu equipo detectará el ataque antes de que la vida de alguien dependa de una credencial comprometida.