Brian Krebs ha trovato la propria patente in vendita su un servizio del dark web, e nel nome del file c’era la data in cui l’aveva mostrata: un giorno di giugno 2025, quando aveva preso un volo verso il Midwest per un funerale di famiglia. Non era una foto sfocata. Il record conteneva sei file: fronte e retro del documento in tre versioni, scansione normale, infrarosso e ultravioletto.

Il servizio, chiamato Nexus, era comparso lunedì 31 agosto 2026 su Exploit, un forum criminale russo, offrendo scansioni di documenti di oltre 170 milioni di persone in Nord America. L’inventario dichiarato: più di 153 milioni di patenti statunitensi e canadesi, oltre 10 milioni di carte d’identità, più di 3 milioni di documenti di viaggio o ID internazionali e almeno 579’000 tessere sanitarie. Una ricerca a vuoto sul servizio restituiva circa 11,5 milioni di pagine di risultati a 15 record per pagina: il numero non era gonfiato.

Nessuna delle aziende dove quelle persone avevano mostrato il documento ha annunciato una violazione. Secondo la ricostruzione di Krebs le immagini arrivano dal fornitore che scansionava per loro, e su quell’origine l’FBI ha aperto un’indagine. È questo lo schema che rende la storia utile a chi gestisce una PMI, uno studio professionale o un sito WordPress che raccoglie allegati: il perimetro dei tuoi dati finisce dove finisce quello del tuo fornitore, e tu quel confine non lo vedi.

Come si è risaliti alla fonte in tre giorni

Krebs ha chiesto a più di una dozzina di amici e parenti il permesso di cercare le loro patenti nel servizio. Nove sono state trovate, e ognuna delle nove persone ha confermato di aver viaggiato nella data indicata dal timestamp appeso al nome del file, o a un giorno di distanza. I fusi orari sembravano impostati su GMT.

La prima ipotesi era l’aeroporto. È caduta subito: nel set non c’era un solo passaporto. Il ricercatore Zach Edwards, che aveva mostrato la patente al controllo TSA, in un dispensario di cannabis a Las Vegas e alla reception dell’hotel Aria, ha notato che di quei tre punti solo il dispensario gli aveva passato il documento in un lettore hardware. Quel dispensario apparteneva a Planet13, una catena con negozi in California, Florida, Illinois e Nevada.

Da qui il collegamento diventa documentale. Nel 2022 idscan.net, azienda di verifica d’identità con sede a New Orleans, aveva annunciato un accordo esclusivo per la verifica dell’identità in tutti i dispensari Planet13. La stessa azienda dichiara di gestire la verifica per oltre 1’000 dispensari in 19 stati americani, e sulla propria pagina “trust” elenca fra i clienti Hertz, Target, FedEx, Motorola Solutions, Jack Henry e Caesars Entertainment: oltre 21 milioni di verifiche al mese in più di 20’000 punti nel mondo. La documentazione pubblica di idscan.net conferma anche il dettaglio tecnico che chiude il cerchio: i suoi lettori acquisiscono il documento nell’infrarosso e nell’ultravioletto.

Il 2 settembre 2026 l’ufficio FBI di New Orleans ha aperto un’indagine formale sull’origine di quelle immagini. idscan.net ha dichiarato a Krebs di stare indagando; una portavoce, Jillian Kossman, ha definito le informazioni ricevute utili all’indagine del suo team. Poche ore dopo la pubblicazione dell’inchiesta, Nexus è sparito dal dark web: al posto della pagina di login, una riga di testo, “This service is no longer available”.

Perché infrarosso e ultravioletto cambiano la classe di rischio

Un data breach che espone nome, indirizzo e data di nascita produce un rischio di frode. Un breach che espone la scansione multispettrale di un documento produce qualcosa di diverso: la materia prima per fabbricarne una copia che supera i controlli di autenticità. Gli elementi di sicurezza di una patente — ologrammi, inchiostri UV, microstampe visibili solo in infrarosso — esistono proprio perché una fotocopia non basta. Se l’archivio rubato contiene anche quei livelli, il documento clonato smette di essere un falso grossolano.

Larry Baldwin, principal intelligence researcher della società di sicurezza Cybera, ha indicato le due conseguenze concrete: le patenti sono lo strumento standard per provare la propria identità quando si aprono nuove linee di credito, e la disponibilità pubblica di una scansione mette in pericolo chi ha bisogno di non essere trovato — persone che fuggono da violenza domestica, testimoni sotto protezione. Sono persone che non possono cambiare volto abbastanza da ingannare un sistema di riconoscimento immagini.

Per chi progetta sistemi la lezione è più ristretta e più utile: il livello di protezione richiesto da un archivio si misura su cosa i suoi campi permettono di produrre, non sul loro numero.

La clausola che conta non è la sicurezza, è la cancellazione

Qui c’è il dettaglio che nella copertura della notizia è passato in secondo piano. Caesars Entertainment ha fatto sapere di non essere cliente di idscan.net e di non usare VeriScan da febbraio 2025, pur comparendo ancora fra i clienti sulla pagina “trust” del fornitore. Ha aggiunto di non avere account attivi al momento dell’incidente e di non avere autorizzato la conservazione dei dati dei propri account; idscan.net le ha risposto che l’incidente non dovrebbe avere impatto su di lei.

Leggila due volte. Un’azienda che ha chiuso il rapporto diciotto mesi prima si trova a dover chiarire pubblicamente che non ha autorizzato nessuno a conservare i propri dati, mentre il fornitore continuava a esibirla come cliente. Non sappiamo se quelle immagini fossero nell’archivio: sappiamo che la risposta è arrivata dopo l’incidente, non prima, e che la clausola sulla retention era l’unico posto dove poteva stare scritta in anticipo.

E il timestamp nel nome del file, quello che ha permesso a Krebs di risalire alla fonte, dice la stessa cosa dal lato tecnico: se un record del giugno 2025 è ancora integro nel settembre 2026, con tutti i tre livelli di acquisizione, la lettura più semplice è che quel documento non fosse stato verificato e scartato, ma archiviato.

Da cui la mia take: a un fornitore di verifica d’identità non serve chiedere come protegge i dati, serve chiedere per quanto tempo li tiene e come ti dimostra di averli cancellati. Una verifica d’identità che conserva la scansione originale sta facendo un secondo lavoro, la raccolta, con un profilo di rischio diverso e lo stesso nome commerciale. La differenza si vede solo leggendo la retention, e la retention è quasi sempre l’unica riga che nessuno chiede.

È lo stesso meccanismo che rende difficile valutare un fornitore hardware o un aggiornamento firmware: il rischio sta nel processo che non vedi, non nel prodotto che compri. Ne avevo scritto a proposito dei router con backdoor nella catena di fornitura, e la struttura del problema è identica.

Dove una PMI raccoglie documenti senza saperlo

La reazione istintiva a una storia americana è “qui non ci riguarda”. Ma il gesto che ha generato quell’archivio — passare un documento in un lettore, o riceverne una copia via form — è quotidiano anche in uno studio di tre persone. I punti di raccolta tipici:

  • Onboarding clienti con obbligo di identificazione: fiduciarie, agenzie immobiliari, consulenti finanziari, studi legali.
  • Check-in di strutture ricettive, palestre, coworking, noleggi. Spesso con un lettore o un’app di terze parti.
  • Form del sito con campo allegato: “carica un documento”, “allega la carta d’identità”, “invia il permesso di soggiorno”.
  • Canali informali: WhatsApp, email, Telegram. Sono i più difficili da governare perché non risultano da nessun inventario.
  • Verifica dell’età imposta da normative recenti, che aggiunge un archivio dove prima non ce n’era nessuno.

Di questi cinque, quattro passano da un fornitore esterno e uno passa dal tuo sito. Ed è quello del sito il più sottovalutato, perché sembra il più sotto controllo.

Gli upload dei form WordPress non sono protetti come pensi

Due esempi con documentazione ufficiale alla mano, perché qui le assunzioni costano care.

Contact Form 7. La documentazione spiega che il file caricato viene spostato in una cartella temporanea, wp-content/uploads/wpcf7_uploads per default, allegato alla mail e poi rimosso dalla cartella. Sembra una buona notizia: il documento non resta sul server. Ma sposta soltanto il problema. La copia della carta d’identità ora vive nella tua casella di posta, nella cartella “inviati” del server SMTP, nell’archivio del provider di posta e in ogni backup della mailbox. Il ciclo di vita di quel dato non lo decide più il plugin: lo decide il tuo client di posta, cioè nessuno.

Gravity Forms. Qui la documentazione è ancora più esplicita, ed è la frase che consiglio di rileggere: le URL di download sono “offuscate per rendere difficile indovinarle, ma non sono soggette a controllo di accesso”. Tradotto: chiunque abbia la URL corretta scarica il file senza alcuna autenticazione. È una scelta di progetto dichiarata, perché quelle URL devono funzionare anche dentro le email di notifica. Per limitare l’accesso serve una configurazione aggiuntiva, che va fatta a mano.

Metti insieme le due cose e ottieni lo scenario reale: la URL non protetta di una scansione di documento viaggia in un’email non cifrata, finisce nei log del server di posta, nelle notifiche inoltrate a un collaboratore, negli export delle entry e nei backup del sito. Ognuna di quelle copie ha una retention diversa, e nessuna la hai decisa tu.

Sette controlli da fare questa settimana

Ordine di esecuzione pensato per costo crescente. I primi tre si fanno in un pomeriggio.

  1. Inventario dei punti di raccolta. Una riga per punto: dove entra il documento, chi lo riceve, dove finisce, chi può leggerlo. Includi i canali informali, sono quelli che mancano sempre. Se la riga non sai chiuderla, hai trovato il primo problema.
  2. Test della URL pubblica. Carica un file di prova nel tuo form, prendi la URL dalla notifica email e aprila in una finestra anonima, senza sessione WordPress. Se il file si scarica, ogni documento mai caricato su quel form è raggiungibile da chi ha la URL. Su Gravity Forms questo è il comportamento di default.
  3. Svuota la posta. Cerca nella casella gli allegati dei form degli ultimi ventiquattro mesi e conta quante scansioni di documenti ci sono. Quel numero è il tuo archivio non dichiarato. Spostalo in un archivio ad accesso controllato o cancellalo.
  4. Retention dichiarata per ogni fornitore. Una domanda scritta, una risposta in giorni: per quanto tempo conservate le immagini dei documenti dopo la verifica, e con quale procedura le cancellate. Se torna indietro “secondo le migliori pratiche di settore”, non hai una risposta.
  5. Prova della cancellazione. Chiedi cosa ricevi come evidenza quando chiudi il rapporto: un log, un’attestazione firmata, un report di eliminazione. Il caso Caesars mostra esattamente cosa succede quando questo pezzo manca.
  6. Catena dei sub-fornitori. Chiedi l’elenco di chi tratta i dati a valle e chi li ospita. Se il fornitore non riesce a produrlo in una settimana, non lo sa nemmeno lui.
  7. Notifica pronta prima di servire. Scrivi ora il testo che invieresti all’autorità e alle persone interessate, con i campi da riempire vuoti. Il giorno del breach il tempo che hai lo spendi a capire cosa è uscito, non a scrivere.

Il controllo 5 è quello che quasi tutti saltano, ed è quello che nel caso Nexus avrebbe fatto la differenza. Una promessa di cancellazione senza evidenza verificabile è una dichiarazione di intenti: vale quanto la governance della memoria in un sistema AI senza un registro di cosa è stato scritto e quando.

Chi risponde davanti alla legge

Se raccogli il documento, sei tu il titolare del trattamento. Il fornitore che lo scansiona è il responsabile, e questa distinzione non trasferisce la responsabilità: la distribuisce in modo asimmetrico, con te davanti.

Nel GDPR l’articolo 28 fissa il contenuto minimo del contratto con il responsabile. Due passaggi valgono l’audit di cui sopra: il responsabile non può ingaggiare un altro responsabile senza autorizzazione scritta del titolare (art. 28 par. 2), e su scelta del titolare deve cancellare o restituire tutti i dati personali al termine della fornitura, cancellando le copie esistenti salvo obblighi di legge (art. 28 par. 3 lett. g). La lettera h aggiunge il pezzo operativo: il responsabile deve mettere a disposizione del titolare tutte le informazioni necessarie a dimostrare la conformità e consentire audit e ispezioni. Quel diritto di audit esiste per contratto: se non lo esercitate mai, sulla carta c’è e nella pratica no.

Sui tempi, l’articolo 33 par. 1: notifica all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione, a meno che sia improbabile un rischio per i diritti e le libertà delle persone.

In Svizzera la Legge federale sulla protezione dei dati del 25 settembre 2020, in vigore dal 1° settembre 2023, costruisce lo stesso impianto con parole diverse. L’articolo 8 impone la sicurezza adeguata al rischio a titolare e responsabile. L’articolo 9 dispone che il responsabile può affidare il trattamento a un terzo soltanto previa autorizzazione. L’articolo 24 chiede al titolare di notificare quanto prima all’IFPDT ogni violazione che comporti verosimilmente un rischio elevato per la personalità o i diritti fondamentali, e al capoverso 3 impone al responsabile di informare quanto prima il titolare di ogni violazione della sicurezza dei dati.

Quest’ultimo obbligo merita un’osservazione pratica. Nel caso idscan.net l’azienda era ancora nella fase “stiamo indagando” quando l’inchiesta era già pubblica e l’FBI aveva aperto il fascicolo. Il tuo termine di notifica, però, decorre da quando tu vieni a conoscenza della violazione, non da quando il fornitore finisce di indagare. In pratica: se leggi su una fonte credibile che il tuo fornitore è stato violato, il cronometro parte quel giorno. Non aspettare la comunicazione ufficiale per iniziare a ricostruire quali dei tuoi dati erano in quel sistema — quella ricostruzione è la parte lenta e la puoi solo preparare in anticipo, mappando in tempo di pace cosa hai mandato a chi.

Cosa monitorare da qui in avanti

La sintesi operativa, per chi arriva in fondo con una lista di cose da fare invece che con una sensazione.

  • Riduci i punti di raccolta prima di proteggerli. Ogni scansione che non chiedi è un archivio che non devi difendere. Per molti casi d’uso basta verificare il documento e registrare l’esito, non conservare l’immagine.
  • Verifica oggi le URL degli upload del tuo sito in finestra anonima. Cinque minuti, e su Gravity Forms il risultato di default è quello che non ti aspetti.
  • Metti la retention nel contratto in giorni, con la prova di cancellazione come deliverable. È l’unica clausola che avrebbe protetto un’azienda nella posizione di Caesars.
  • Tieni aggiornata la mappa dei dati inviati a ciascun fornitore: nel giorno del breach è la differenza fra notificare entro 72 ore e non sapere cosa notificare.
  • Considera compromesso un documento già esposto. Una patente clonabile in infrarosso e ultravioletto non si “cambia”: la contromisura è alzare i controlli che si appoggiano su quel documento, non sperare che l’archivio scompaia. Nexus è andato offline poche ore dopo l’inchiesta, e questo non dice nulla su quante copie dell’archivio siano già in circolazione.

Chi progetta processi di identificazione ha ancora un margine di manovra su una scelta di fondo: se il sistema deve vedere il documento o conservarlo. Il caso Nexus dimostra che la seconda opzione produce un asset criminale con una vita utile di anni, e che il costo di quell’asset lo pagano prima le persone e poi le aziende che avevano solo chiesto di controllare un’età o un nome. Sono considerazioni vicine a quelle sul rischio che passa dalla filiera dei fornitori: cambia la tecnologia, non cambia chi risponde.

Fonti