IDScan, 150 milioni di patenti: il fornitore di verifica d'identità come punto di cumulo

Archivio: ricostruzione scritta a novembre 2026

Tema del mese di settembre 2026 · di cybercoverinsurance

Il 10 settembre 2026 IDScan.net, società della Louisiana che verifica i documenti d'identità per conto di locali, casinò e dispensari di cannabis, ha confermato il furto di dati dai propri sistemi cloud. Pochi giorni prima un sito del dark web chiamato Nexus aveva messo in vendita oltre 153 milioni di patenti di guida statunitensi e canadesi, con immagini dei documenti, che il venditore attribuiva a IDScan. Tra il 2 e il 4 settembre erano già state depositate nove class action contro la società.

Per chi assume il rischio cyber il caso mostra un fornitore poco visibile che concentra dati di milioni di persone per conto di molti clienti. Il danno non resta presso il fornitore: ogni cliente che ha scansionato un documento può avere obblighi di notifica e azioni legali.

Cosa si sa

L'azienda. IDScan offre la verifica dei documenti d'identità a clienti aziendali, dai locali di intrattenimento ai dispensari di cannabis. Il suo sito dichiara oltre 150 milioni di patenti di guida trattate (TechCrunch).

La scoperta. Intorno al 1° settembre IDScan ha ricevuto informazioni su una rivendicazione di attacco, lo stesso giorno in cui il giornalista Brian Krebs ha pubblicato la notizia dopo aver trovato il proprio record sul sito di vendita. Il 10 settembre la società ha confermato in un avviso che dati erano stati sottratti dai suoi account cloud, con nomi, numeri di patente e numeri di altri documenti come i passaporti. L'FBI ha aperto un'indagine e il Pentagono ha detto di essere al corrente della violazione (TechCrunch).

I dati in vendita. Secondo le notizie riprese da Malwarebytes, Nexus offriva oltre 153 milioni di patenti, 10 milioni di carte d'identità, 3 milioni di documenti di viaggio e 579.000 tessere sanitarie, comprese quelle dei dispensari di cannabis. Alcuni record includevano le immagini fronte e retro dei documenti e le scansioni a infrarossi e ultravioletti (Malwarebytes). Il venditore ha detto di aver sottratto dati per oltre un anno.

Cosa non si sa. IDScan non ha comunicato il numero di persone coinvolte, né come sia avvenuto l'accesso o per quanto sia durato. Non ha confermato che tutti i dati di Nexus vengano dai suoi sistemi. Nel suo avviso ha scritto che «l'accesso completo alle informazioni richiedeva un pagamento», senza chiarire se si trattasse di una richiesta di riscatto (TechCrunch).

Il fornitore invisibile

Un intermediario, molti clienti. Chi entra in un locale o noleggia un'auto non sceglie IDScan e spesso non sa che il suo documento passa da lì. Per il portafoglio, il fornitore di verifica è un punto di cumulo nascosto dentro il processo di accoglienza dei clienti.

Il cliente che ha smesso. Un portavoce di Caesars Entertainment ha detto che la società non usava più IDScan da febbraio 2025, mentre l'azienda la elencava ancora tra i clienti (Zyphe). I dati dei clienti di un fornitore possono restare nei suoi sistemi anche dopo la fine del contratto.

La conservazione. La verifica di un documento richiede pochi secondi, ma i dati sono rimasti conservati, a quanto risulta dai record in vendita, con immagini complete. Ogni record conservato oltre il necessario aumenta il numero di persone da avvisare.

Documenti d'identità, danni durevoli

Dati che non si cambiano. Una password si cambia, una patente o un passaporto no, o solo con costi e tempi lunghi. Le immagini fronte e retro con le scansioni di sicurezza servono a creare documenti falsi e a superare altri controlli d'identità. Il danno per le persone dura anni.

Costi di notifica su scala. Con oltre 150 milioni di record dichiarati, anche un costo minimo per persona produce cifre molto alte per notifiche, monitoraggio del credito e servizi di assistenza. Le leggi statali statunitensi sulle violazioni trattano i numeri di patente come dati personali che fanno scattare l'obbligo di notifica.

Le class action in pochi giorni. Nove azioni collettive depositate in tre giorni davanti al tribunale federale del distretto orientale della Louisiana (Zyphe). La responsabilità civile arriva prima ancora della conferma della violazione: per la polizza del fornitore, i costi di difesa partono subito.

La responsabilità verso i clienti

I clienti del fornitore. Locali, casinò e dispensari hanno raccolto i documenti dei propri clienti. Secondo la legge applicabile, l'obbligo di notifica può ricadere su di loro come titolari dei dati, anche se la violazione è presso IDScan. Per l'assicurato, la copertura della violazione di dati presso terzi diventa decisiva.

Il recupero verso il fornitore. I clienti di IDScan possono cercare di recuperare i costi di notifica dal fornitore. Se le richieste di molti clienti e di milioni di persone arrivano insieme, i massimali della polizza del fornitore si esauriscono in fretta e il recupero per l'assicuratore del cliente diventa incerto.

Il dato sanitario. Le 579.000 tessere sanitarie, comprese quelle per la cannabis terapeutica, sono dati sulla salute (Malwarebytes). Dove si applicano norme sui dati sanitari, gli obblighi e le sanzioni sono più pesanti.

Cosa portare ai rinnovi

Impatto per gli assicuratoriAlto

Dati di documenti d'identità di oltre 150 milioni di persone, secondo il venditore, sono stati sottratti a IDScan, fornitore di verifica d'identità per molte aziende, con nove class action in pochi giorni.

Sul piano del portafoglio, il caso IDScan suggerisce di identificare gli assicurati che usano fornitori di verifica d'identità, soprattutto nell'intrattenimento, nei casinò e nel noleggio, e di trattare questi fornitori come punti di cumulo: un loro incidente produce notifiche e azioni legali per molti assicurati insieme.

Fonti

• TechCrunch – la conferma di IDScan, i dati sottratti e le indagini
• Malwarebytes – il sito Nexus e i tipi di documenti in vendita
• Zyphe – le class action e le incongruenze sui clienti