Um novo serviço criminoso instalado na dark web, batizado de Nexus, colocou à venda digitalizações de documentos de identificação recolhidos em balcões de aluguer de automóveis, hotéis e lojas com verificação de idade nos Estados Unidos e no Canadá. Segundo a investigação do jornalista Brian Krebs, o serviço afirmava dispor de mais de 153 milhões de cartas de condução de pessoas nos Estados Unidos e no Canadá, além de mais de 10 milhões de cartões de identificação, mais de três milhões de documentos de viagem e/ou identificações internacionais e pelo menos 579 mil cartões médicos. A pista aponta para uma empresa norte-americana de verificação de identidade, a IDScan.net, e o FBI já abriu uma investigação formal.
Resposta rápida: Um serviço na dark web chamado Nexus anunciou a venda de digitalizações de documentos de identificação de mais de 170 milhões de pessoas na América do Norte, incluindo mais de 153 milhões de cartas de condução. O rasto aponta para a empresa de verificação de identidade IDScan.net, sediada no Luisiana, que diz estar a investigar; o escritório do FBI em Nova Orleães abriu inquérito e o site do Nexus ficou offline pouco depois de a notícia sair. Não há, até agora, indicação pública de que estejam envolvidos documentos emitidos em Portugal, mas o caso é um aviso direto: cópias de documentos de identificação recolhidas «só para verificar» são um alvo de alto valor e devem ser minimizadas e apagadas.
O que foi posto à venda
A história começou num fórum de cibercrime russófono. A 31 de agosto de 2026, uma fonte alertou o KrebsOnSecurity para um serviço anunciado por um novo utilizador no fórum Exploit, que oferecia acesso a digitalizações de documentos de identificação de mais de 170 milhões de pessoas na América do Norte — e que usou a própria carta de condução do jornalista, emitida na Virgínia, como amostra gratuita no anúncio inicial.
Os números não pareciam inflacionados. Uma pesquisa em branco na plataforma, sem qualquer parâmetro, devolvia cerca de 11,5 milhões de páginas de resultados, com aproximadamente 15 registos por página. A maioria dos registos era de cidadãos norte-americanos: as pesquisas restritas a cartas de condução canadianas devolviam cerca de 1,1 milhões de resultados, com a maior concentração no Ontário (473 673 registos).
| Tipo de documento anunciado | Volume alegado pelo Nexus |
|---|---|
| Cartas de condução (EUA e Canadá) | mais de 153 milhões |
| Cartões de identificação | mais de 10 milhões |
| Documentos de viagem e/ou IDs internacionais | mais de 3 milhões |
| Cartões médicos | pelo menos 579 000 |
O detalhe do espólio é o que mais preocupa. Além de cartas de condução, o acervo incluía cartões de dispensários de canábis; alguns registos indicavam como origem CDL, presumivelmente carta de condução comercial, e outros a notação CAC, que pode referir-se a Common Access Cards, os cartões de identificação emitidos pelo Estado norte-americano que dão acesso físico a edifícios governamentais e a salas seguras. Os registos incluíam imagens reais dos documentos, por vezes com várias fotografias da frente e do verso, além de leituras em infravermelhos e ultravioleta.
Entre as vítimas contam-se figuras do topo do Estado norte-americano. A carta de condução do secretário da Defesa dos EUA, Pete Hegseth, estava disponível no serviço, sendo apenas um de vários altos responsáveis governamentais cujas cartas de condução podiam ser compradas. O serviço vendia também a informação da carta de condução do diretor-adjunto do FBI, embora não tenha sido encontrada a do diretor Kash Patel.
Como se chegou à IDScan.net
A atribuição não veio de um comunicado, mas de correlação de metadados com voluntários. Investigadores confirmaram a ligação ao cruzar as datas registadas nas imagens das cartas de condução com viagens e alugueres de automóveis reais; vários voluntários encontraram os próprios documentos na base de dados do Nexus e os carimbos temporais coincidiam com momentos em que tinham mostrado identificação a empresas de aluguer de viaturas ou a dispensários — e não em aeroportos —, o que levou os investigadores a apontar para sistemas de verificação de identidade usados no ponto de atendimento.
O fio conduziu a uma empresa de verificação de identidade sediada no Luisiana. O FBI abriu uma investigação a uma aparente violação de dados que envolve a IDScan.net, empresa de verificação de identidade que fornece tecnologia a outras empresas. Numa conferência telefónica com agentes federais, o FBI informou o jornalista de que o escritório de campo de Nova Orleães tinha aberto nesse dia uma investigação oficial a uma aparente violação envolvendo a IDScan.net. Segundo os relatos publicados, a carteira de clientes da empresa inclui grandes marcas norte-americanas de retalho, logística, hotelaria e serviços financeiros — o que ajuda a explicar a escala.
A empresa não confirmou a origem, mas ativou procedimentos de resposta. Em declarações citadas na investigação, a IDScan.net afirmou ter recebido a 1 de setembro informação que sugeria que determinados dados poderiam ter sido expostos e que a empresa poderia estar implicada, acrescentando estar a trabalhar com urgência para validar essa informação e determinar se houve acesso não autorizado e qual o seu âmbito. A empresa disse ter iniciado de imediato os seus procedimentos de resposta a incidentes, incluindo medidas para proteger sistemas potencialmente afetados e investigar possíveis pontos de acesso, a notificação da seguradora de risco cibernético, a contratação de assessoria jurídica externa e o arranque da contratação de uma empresa forense independente.
Cronologia do caso
| Data (2026) | Acontecimento |
|---|---|
| 31 de agosto | Anúncio do serviço Nexus no fórum de cibercrime Exploit, com oferta de documentos de mais de 170 milhões de pessoas na América do Norte |
| 1 de setembro | Publicação da investigação; a IDScan.net diz ter recebido informação sobre possível exposição e ativa a resposta a incidentes |
| 1 de setembro | O escritório do FBI em Nova Orleães abre investigação oficial à aparente violação |
| 1 de setembro (noite) | O site do Nexus desaparece e passa a exibir uma mensagem a dizer que o serviço já não está disponível |
Pouco depois de a notícia ser publicada, o site do serviço desapareceu da dark web, substituindo a página de login por uma mensagem em texto simples a indicar que o serviço deixou de estar disponível. Isso não significa que os dados desapareceram: o número de registos de cartas de condução listados aumentou em quase 400 mil no espaço de apenas 24 horas e os operadores afirmaram, no anúncio inicial, ter estado «continuamente a exfiltrar novos dados» para a sua base privada durante mais de um ano. Se essa alegação se confirmar, trata-se de uma exfiltração prolongada e não de um incidente pontual.
Porque é que uma imagem de documento vale mais do que uma password
Uma password muda-se em segundos. Uma carta de condução ou um cartão de cidadão não. Uma imagem de alta resolução de um documento oficial, com fotografia, data de nascimento, morada e número, é matéria-prima ideal para abrir contas em nome de outra pessoa, contornar processos de onboarding remoto (KYC), fabricar documentos falsos convincentes e alimentar campanhas de engenharia social altamente personalizadas. Investigadores de segurança alertaram para riscos graves, incluindo roubo de identidade para fraude financeira, perseguição (stalking) e ameaças a pessoas em situação particularmente vulnerável, como testemunhas protegidas ou vítimas de violência doméstica, e sublinharam que os dados expostos podem alimentar reconhecimento facial para localizar vítimas.
O que isto significa em Portugal
Não há, até ao momento, qualquer indicação pública de que documentos emitidos em Portugal estejam neste conjunto de dados — os registos identificados são dos Estados Unidos e do Canadá. Mas há três lições diretas para quem opera em território nacional.
- Minimização não é opcional. Ao abrigo do RGPD, recolher e conservar imagens de documentos de identificação exige base legal, finalidade determinada e prazos de conservação. Guardar a fotocópia «por precaução» é criar um passivo. Recorde-se que a legislação portuguesa do Cartão de Cidadão condiciona a reprodução do documento à vontade do titular, pelo que retê-la por defeito é uma prática de risco jurídico e de segurança.
- O risco está na cadeia de fornecedores. O cliente entrega o documento a um hotel, a uma rent-a-car ou a uma loja, mas quem o processa e armazena é, muitas vezes, um fornecedor tecnológico. Contratos, auditorias e cláusulas de segurança com subcontratantes deixam de ser burocracia quando é o fornecedor a ser comprometido.
- A obrigação de notificar é rápida. Em caso de violação de dados pessoais com risco para os titulares, há dever de notificação à CNPD em 72 horas e, se o risco for elevado, também aos titulares afetados. Em paralelo, entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) têm deveres próprios de gestão de risco e de comunicação de incidentes significativos ao CNCS/CERT.PT, incluindo riscos decorrentes da cadeia de fornecimento.
Para cidadãos e PME, as medidas úteis são pragmáticas: não enviar fotografias de documentos por e-mail, WhatsApp ou formulários não seguros; questionar sempre por que motivo uma cópia é necessária e quanto tempo será guardada; ativar autenticação multifator na banca e nos serviços públicos digitais; desconfiar de contactos que já «sabem» dados do documento, porque conhecimento não é prova de legitimidade; e vigiar comunicações do Banco de Portugal, da Autoridade Tributária ou de operadoras sobre contratos e créditos que não reconheça. Nas empresas, vale a pena inventariar onde existem cópias de documentos de identificação, quem lhes acede e quando são eliminadas.
Perguntas frequentes
Os documentos portugueses estão afetados?
Não existe, até agora, informação pública que confirme a presença de documentos emitidos em Portugal. Os registos identificados dizem respeito a cartas de condução e cartões de identificação dos Estados Unidos e do Canadá, embora o serviço alegasse também deter mais de três milhões de documentos de viagem e identificações internacionais, cuja composição não é conhecida.
O site já fechou. O perigo passou?
Não. A página de venda ficou inacessível, mas os ficheiros continuam nas mãos de quem os copiou e podem ser revendidos noutros canais. Além disso, os operadores afirmaram estar a extrair dados de forma contínua há mais de um ano, o que sugere um problema estrutural e não um evento isolado.
A minha empresa pede cópia do cartão de cidadão. É legal?
Depende da finalidade e da base legal. Há obrigações setoriais que exigem verificação de identidade, mas conservar imagens de documentos exige necessidade demonstrável, prazo de conservação definido e medidas de segurança adequadas. Em muitos casos, basta verificar e registar que a verificação ocorreu, sem guardar a imagem.
O que fazer se suspeitar que o meu documento foi usado por terceiros?
Reúna provas, apresente queixa às autoridades competentes, comunique a situação às entidades onde possa ter sido aberta uma conta ou contrato em seu nome e reforce a autenticação nos serviços críticos. Se houver tratamento indevido de dados pessoais, pode apresentar reclamação à CNPD; para orientação sobre incidentes, o CNCS disponibiliza canais de apoio através do CERT.PT.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela investigação do KrebsOnSecurity, em declarações atribuídas à IDScan.net e em informação sobre a investigação aberta pelo FBI.