ANÁLISIS
IDScan, 150 millones de permisos de conducir: el proveedor de verificación de identidad como punto de cúmulo
El 10 de septiembre de 2026 IDScan, proveedor de verificación de documentos de identidad para locales, casinos y dispensarios, confirmó el robo de datos de sus sistemas en la nube, mientras un sitio de la dark web vendía más de 153 millones de permisos de conducir. El análisis: el proveedor invisible, documentos que no se cambian, la responsabilidad frente a los clientes y preguntas para las renovaciones.
Archivo: reconstrucción escrita en noviembre de 2026
Tema del mes de septiembre de 2026 · por cybercoverinsurance
El 10 de septiembre de 2026 IDScan.net, empresa de Luisiana que verifica documentos de identidad para locales, casinos y dispensarios de cannabis, confirmó el robo de datos de sus sistemas en la nube. Pocos días antes un sitio de la dark web llamado Nexus había puesto a la venta más de 153 millones de permisos de conducir estadounidenses y canadienses, con imágenes de los documentos, que el vendedor atribuía a IDScan. Entre el 2 y el 4 de septiembre ya se habían presentado nueve demandas colectivas contra la empresa.
Para quien asume el riesgo cyber el caso muestra a un proveedor poco visible que concentra datos de millones de personas por cuenta de muchos clientes. El daño no se queda en el proveedor: cada cliente que escaneó un documento puede tener obligaciones de notificación y demandas.
Lo que se sabe
La empresa. IDScan ofrece la verificación de documentos de identidad a clientes empresariales, desde locales de ocio hasta dispensarios de cannabis. Su web declara más de 150 millones de permisos de conducir tratados (TechCrunch).
El descubrimiento. Hacia el 1 de septiembre IDScan recibió información sobre una reivindicación de ataque, el mismo día en que el periodista Brian Krebs publicó la noticia tras encontrar su propio registro en el sitio de venta. El 10 de septiembre la empresa confirmó en un aviso que se habían sustraído datos de sus cuentas en la nube, con nombres, números de permiso de conducir y números de otros documentos como pasaportes. El FBI abrió una investigación y el Pentágono dijo estar al corriente de la vulneración (TechCrunch).
Los datos a la venta. Según las informaciones recogidas por Malwarebytes, Nexus ofrecía más de 153 millones de permisos de conducir, 10 millones de documentos de identidad, 3 millones de documentos de viaje y 579.000 tarjetas sanitarias, incluidas las de dispensarios de cannabis. Algunos registros incluían imágenes del anverso y reverso de los documentos y escaneos infrarrojos y ultravioleta (Malwarebytes). El vendedor dijo haber sustraído datos durante más de un año.
Lo que no se sabe. IDScan no ha comunicado el número de personas afectadas, ni cómo se produjo el acceso ni cuánto duró. No ha confirmado que todos los datos de Nexus procedan de sus sistemas. En su aviso escribió que «el acceso completo a la información requería un pago», sin aclarar si se trataba de una petición de rescate (TechCrunch).
El proveedor invisible
Un intermediario, muchos clientes. Quien entra en un local o alquila un coche no elige IDScan y a menudo no sabe que su documento pasa por allí. Para la cartera, el proveedor de verificación es un punto de cúmulo escondido dentro del proceso de recepción de clientes.
El cliente que lo dejó. Un portavoz de Caesars Entertainment dijo que la empresa había dejado de usar IDScan en febrero de 2025, mientras que esta aún la incluía entre sus clientes (Zyphe). Los datos de los clientes de un proveedor pueden quedarse en sus sistemas incluso después del fin del contrato.
La conservación. Verificar un documento lleva pocos segundos, pero los datos se conservaron, a juzgar por los registros a la venta, con imágenes completas. Cada registro conservado más de lo necesario aumenta el número de personas a las que avisar.
Documentos de identidad, daños duraderos
Datos que no se cambian. Una contraseña se cambia; un permiso de conducir o un pasaporte no, o solo con costes y plazos largos. Las imágenes del anverso y reverso con los escaneos de seguridad sirven para crear documentos falsos y superar otros controles de identidad. El daño para las personas dura años.
Costes de notificación a gran escala. Con más de 150 millones de registros declarados, incluso un coste mínimo por persona produce cifras muy altas en notificaciones, vigilancia del crédito y servicios de asistencia. Las leyes estatales estadounidenses sobre vulneraciones tratan los números de permiso de conducir como datos personales que activan la obligación de notificar.
Demandas colectivas en pocos días. Nueve demandas colectivas presentadas en tres días ante el tribunal federal del distrito este de Luisiana (Zyphe). La responsabilidad civil llega antes incluso de que se confirme la vulneración: para la póliza del proveedor, los costes de defensa empiezan enseguida.
La responsabilidad frente a los clientes
Los clientes del proveedor. Locales, casinos y dispensarios recogieron los documentos de sus propios clientes. Según la ley aplicable, la obligación de notificar puede recaer en ellos como responsables de los datos, aunque la vulneración se produjera en IDScan. Para el asegurado, la cobertura de una vulneración de datos en un tercero se vuelve decisiva.
La repetición contra el proveedor. Los clientes de IDScan pueden intentar recuperar del proveedor los costes de notificación. Si las reclamaciones de muchos clientes y millones de personas llegan a la vez, los límites de la póliza del proveedor se agotan rápido y la repetición para el asegurador del cliente se vuelve incierta.
El dato sanitario. Las 579.000 tarjetas sanitarias, incluidas las de cannabis terapéutico, son datos de salud (Malwarebytes). Donde se aplican normas sobre datos sanitarios, las obligaciones y las sanciones son más pesadas.
Qué llevar a las renovaciones
Impacto para las aseguradorasAlto
Datos de documentos de identidad de más de 150 millones de personas, según el vendedor, fueron sustraídos a IDScan, proveedor de verificación de identidad para muchas empresas, con nueve demandas colectivas en pocos días.
En cuanto a la cartera, el caso IDScan sugiere identificar a los asegurados que usan proveedores de verificación de identidad, sobre todo en ocio, casinos y alquiler, y tratar a estos proveedores como puntos de cúmulo: un incidente suyo produce notificaciones y demandas para muchos asegurados a la vez.