88 violazioni nei verificatori d'identità: 2,15 miliardi di record

Sempre più siti chiedono di dimostrare chi sei caricando una foto del passaporto o un selfie dal vivo. Un nuovo conteggio mostra quanto vada male. Solo tra le violazioni di dati dei servizi di verifica dell'identità, i ricercatori hanno contato 88 incidenti dal 2011, con 2,15 miliardi di record confermati esposti e altri 4,54 miliardi rivendicati da aggressori e venditori. Il punto scomodo: una password si reimposta, il tuo volto e il tuo passaporto no - ed è proprio ciò che questi servizi raccolgono.

Cosa dicono i numeri

La cronologia è stata compilata dai ricercatori di Mysterium VPN e riportata da Security Affairs. Non si tratta di semplici credenziali. In 41 degli 88 incidenti, quasi la metà, a trapelare è stato il materiale di partenza: scansioni di documenti, selfie di verifica, impronte e modelli biometrici completi. E il ritmo accelera: 37 delle violazioni, circa il 42 per cento, sono avvenute tra gennaio 2024 e agosto 2026, proprio mentre i controlli obbligatori di identità ed età si diffondevano nel web.

• 88 violazioni presso i verificatori di identità dal 2011.
• 2,15 miliardi di record confermati, più altri 4,54 miliardi rivendicati dagli aggressori.
• 41 su 88 incidenti hanno esposto documenti reali e biometria, non solo coppie email-password.
• 42 per cento degli incidenti è caduto nell'ultimo anno e mezzo, con la crescita degli obblighi di verifica.

Gli intermediari che non hai mai scelto

Quando un'app chiede il documento, di solito affida il compito a un verificatore esterno di cui non hai mai sentito parlare e a cui non hai mai accettato di affidarti. Nella cronologia tornano gli stessi nomi: tra questi AU10TIX, IDMerit, Sumsub, Persona e inVOID. Uno ha lasciato un accesso amministrativo aperto per mesi, un altro circa un miliardo di record in un database non protetto. Dietro ciascuna di queste aziende ci sono decine di app popolari, così un singolo errore riversa i documenti di persone che non sapevano nemmeno che il fornitore esistesse.

Perché è peggio di una password trapelata

Una password rubata è una seccatura: la cambi e vai avanti. Una scansione di passaporto e un selfie di verifica trapelati sono per sempre. Lo stesso volto e lo stesso documento vengono riutilizzati in ogni servizio che poi chiede la verifica, così una sola fuga può alimentare per anni frodi d'identità, furti di account e deepfake. Come dicono i ricercatori, il muro a cui sei costretto a consegnare il documento è vulnerabile esattamente come tutto il resto in internet.

Cosa significa per la verifica dell'età

È l'argomento più forte contro il trasformare il web aperto in un posto di blocco dei documenti. Le leggi che impongono di dimostrare l'età fanno passare ogni utente attraverso questi colli di bottiglia, e ogni collo di bottiglia è un vaso di miele di volti e documenti. Per vedere quanto in fretta si diffonde questo obbligo, teniamo un elenco aggiornato dei paesi che vietano o limitano i social ai minori. Più luoghi chiedono il tuo documento, più copie finiscono in database che non puoi controllare.