88 filtraciones en verificadores de identidad: 2150 millones de registros
Cada vez más sitios te piden demostrar quién eres subiendo una foto del pasaporte o un selfie en vivo. Un nuevo recuento muestra lo mal que va eso. Solo en filtraciones de datos de los servicios de verificación de identidad, los investigadores contaron 88 incidentes desde 2011, que expusieron 2150 millones de registros confirmados, con otros 4540 millones reclamados por atacantes y vendedores. Lo incómodo: una contraseña se puede cambiar, pero tu cara y tu pasaporte no, y es justo lo que estos servicios recogen.
Qué dicen las cifras
La cronología la compilaron investigadores de Mysterium VPN y la recogió Security Affairs. No se trata de inicios de sesión corrientes. En 41 de los 88 incidentes, casi la mitad, lo que se filtró fue el material de origen: escaneos de documentos, selfies de verificación, huellas y plantillas biométricas completas. Y el ritmo se acelera: 37 de las filtraciones, alrededor del 42 por ciento, ocurrieron entre enero de 2024 y agosto de 2026, justo cuando los controles obligatorios de identidad y edad se extendían por la web.
- 88 filtraciones en servicios de verificación de identidad desde 2011.
- 2150 millones de registros confirmados, más otros 4540 millones reclamados por atacantes.
- 41 de 88 incidentes filtraron documentos reales y biometría, no solo pares de correo y contraseña.
- 42 por ciento de los incidentes cayeron en el último año y medio, con el auge de las exigencias de verificación.
Los intermediarios que nunca elegiste
Cuando una app pide tu documento, suele delegar la tarea en un verificador externo del que nunca has oído hablar y en el que nunca aceptaste confiar. Los mismos nombres se repiten en la cronología: entre ellos AU10TIX, IDMerit, Sumsub, Persona e inVOID. Uno dejó un acceso administrativo abierto durante meses; otro, unos mil millones de registros en una base sin protección. Detrás de cada una de estas empresas hay decenas de apps populares, así que un solo descuido derrama los documentos de personas que ni sabían que el proveedor existía.
Por qué es peor que una contraseña filtrada
Una contraseña robada es una molestia: la cambias y sigues. Un escaneo de pasaporte y un selfie de verificación filtrados son permanentes. La misma cara y el mismo documento se reutilizan en cada servicio que luego pide verificación, así que una sola filtración puede alimentar durante años el fraude de identidad, el robo de cuentas y los deepfakes. Como dicen los investigadores, el muro al que te obligan a entregar tu documento es exactamente tan vulnerable como todo lo demás en internet.
Qué significa para la verificación de edad
Es el argumento más fuerte contra convertir la web abierta en un puesto de control de identidad. Las leyes que exigen demostrar la edad hacen pasar a cada usuario por estos cuellos de botella, y cada cuello de botella es un panal de caras y documentos. Para ver lo rápido que se extiende esa exigencia, mantenemos una lista actualizada de países que prohíben o restringen las redes sociales a menores. Cuantos más sitios reclaman tu documento, más copias acaban en bases que no puedes auditar.
