Um bilhão de identidades expostas: como uma falha na IDMerit abriu a porta aos "SIM-swap

Um bilhão de identidades, uma porta aberta e um kit de SIM-swap pronto para envio

Uma instância mal configurada do MongoDB deixou cerca de três bilhões de registros expostos na internet aberta, sem senha, por um período indeterminado. Desses, aproximadamente um bilhão continham informações pessoais sensíveis. Pesquisadores da Cybernews descobriram a falha em 11 de novembro de 2025. O vazamento, rastreado até a fornecedora californiana de verificação de identidade IDMerit, não expôs apenas nomes e datas de nascimento; incluiu também metadados de telecomunicações e números de telefone, a lista exata de ingredientes que equipes industriais de SIM-swap precisam para esvaziar contas de exchanges custodiais em escala.

O que foi exposto

A taxonomia dos dados parece uma lista de compras tirada do pior cenário possível para um operador de fraude de identidade. Dentro da instância, que ocupava mais de 1 terabyte, a Cybernews documentou nomes completos com endereços residenciais e códigos postais, datas de nascimento, números de identidade nacional, números de telefone, marcadores de género, endereços de e-mail, metadados de telecomunicações que descreviam a rede móvel associada a cada assinante, e logs de verificação KYC/AML que mostravam quando e como uma determinada identidade fora validada e contra qual contraparte. Cada campo, isoladamente, é recuperável, por vezes até a baixo custo em mercados de vazamentos antigos. A combinação, não. Um número de identidade nacional, somado a um endereço residencial atual, à operadora móvel, ao número de telefone correspondente e a um registo de aprovação KYC datado, é funcionalmente um pacote de identidade notarizado; o tipo de conjunto que um fraudador teria de montar a partir de quatro ou cinco fontes separadas.

O alcance geográfico abrange pelo menos 26 países, com as maiores concentrações nos seguintes:

• Estados Unidos: 203 milhões de registros
• México: 124 milhões de registros
• Filipinas: 72 milhões de registros
• Alemanha: 61 milhões de registros
• Itália: 53 milhões de registros
• França: 53 milhões de registros

Os logs de KYC/AML merecem uma nota à parte. Não se tratam apenas de documentos de identidade brutos; são a trilha de auditoria da verificação de identidade, o que significa que um atacante que os leia sabe qual fintech ou exchange já confia numa determinada identidade, quando essa confiança foi emitida e contra qual documento. Isto converte uma tentativa de fraude a frio, por contacto direto, numa personificação a quente, com documentação de suporte pré-validada.

A lacuna de 99 dias

A Cybernews descobriu a instância aberta em 11 de novembro de 2025, notificou a IDMerit no mesmo dia ou pouco depois, e a base de dados foi protegida a 12 de novembro, no dia seguinte à descoberta. A divulgação pública ocorreu a 18 de fevereiro de 2026, noventa e nove dias após a descoberta inicial, um atraso que a Cybernews caracterizou como prática padrão de divulgação responsável para um conjunto de dados com esta sensibilidade.

A resposta da IDMerit, contudo, não correspondeu à documentação. A empresa afirmou que a "revisão não encontrou nenhuma exposição, vulnerabilidade ou acesso não autorizado no ambiente IDMERIT" e que "os sistemas e a infraestrutura de segurança da IDMERIT nunca foram comprometidos", acrescentando que não tinha "indicação de que qualquer dado de cliente tenha sido comprometido" e levantando a possibilidade de o incidente ser "relacionado a resgate". A linguagem é cuidadosa, e também está em desacordo com o facto empírico de um conjunto de dados de um terabyte, marcado com logs de verificação da IDMerit, a ser servido sem autenticação a partir de um endpoint MongoDB que pesquisadores alcançaram por acaso. A formulação mais restrita da empresa sobre "portas de dados associadas a fontes de dados independentes" potencialmente abertas é a costura onde a negação se sustenta, tecnicamente, embora o dano aos indivíduos nomeados na base de dados não se torne menos real por essa distinção.

O pipeline de SIM-swap

O ângulo de SIM-swap é o que eleva este vazamento de embaraçoso a armazenável. A Cybernews escreveu, na sua divulgação, que os metadados de telecomunicações expostos, incluindo informações de rede móvel, "poderiam facilitar ataques de SIM-swap", observando separadamente que metadados de telecomunicações combinados com números de telefone "aumentam o risco de criminosos assumirem o controlo dos números de telefone das vítimas para interceptar códigos de autenticação".

A mecânica é bem documentada; a condenação federal de 2024 no caso de roubo de criptomoedas por SIM-swap no valor de 8 milhões de dólares, coberta em profundidade pelo KrebsOnSecurity, detalhou o pipeline padrão. Um operador escolhe uma conta de alto valor, identifica a operadora da vítima, entra numa loja de retalho ou recorre à engenharia social num call center com provas de identidade suficientes para ultrapassar as verificações de autenticação da operadora, porta o número para um SIM sob o seu controlo, intercepta a palavra-passe de uso único por SMS da exchange e redefine a conta. Cada etapa deste pipeline tem um ponto de fricção, e essa fricção é a verificação de identidade na operadora. O conjunto de dados da IDMerit remove essa fricção. Com o número de identidade nacional, o endereço, a data de nascimento e a operadora atual prontos a serem colados num script, o trabalho que antes ocupava uma pequena célula criminal durante semanas por vítima colapsa numa linha de montagem.

Esta é a parte que o número do título obscurece. Um bilhão de registros sensíveis não é um bilhão de resultados maus; é o insumo de trabalho para vários anos de SIM-swap industrial, distribuído entre quaisquer compradores que adquiram fragmentos da base de dados à medida que ela, inevitavelmente, circula.

Por que os provedores de KYC são a nova superfície de ataque

O vazamento da IDMerit não é um caso isolado. A Sumsub, cuja carteira de clientes inclui Bitget, Bitpanda, Bybit, Huobi e Wirex, sofreu o seu próprio vazamento no início de 2026, e o padrão mais alargado de vazamentos alegados de administradores de exchanges (a divulgação do administrador da Kraken é o exemplo recente mais comentado) sugere que a centralização da recolha de identidade criou uma classe de alvos mais rica do que as próprias exchanges. Uma exchange, quando hackeada, perde a sua carteira quente; um fornecedor de KYC, quando hackeado, perde as identidades verificadas de toda a base de utilizadores da exchange de uma só vez, o que depois habilita a próxima rodada de tomadas de conta em dezenas de locais não relacionados.

O problema estrutural é que a pressão regulatória empurrou a verificação de identidade na direção de um pequeno número de provedores especializados, na teoria razoável de que a especialização melhora a qualidade, e essa consolidação produziu exatamente o ponto único de falha concentrado que qualquer engenheiro de segurança alertaria se fosse proposto deliberadamente. O regime de conformidade manda a recolha; a dinâmica de mercado concentra o armazenamento; e o armazenamento, como a IDMerit agora demonstrou, pode ficar numa porta aberta por um número desconhecido de dias antes que alguém dê por isso.

O que isso muda para o Diretório: o nosso veredito

Estamos a rebaixar o tratamento de qualquer exchange listada que dependa de um provedor de KYC com um vazamento documentado em 2025 ou 2026, até que esse provedor publique um pós-mortem credível, e não uma negação. A declaração da IDMerit não se qualifica. O vazamento da Sumsub é recente o suficiente para tratarmos qualquer plataforma que encaminhe fluxos de identidade por ela (Bybit, Bitget, Huobi, entre outros) como carregando risco elevado de SIM-swap para utilizadores que ainda dependem de 2FA baseado em SMS, o que nesses locais permanece como padrão para muitos tipos de conta.

A nossa recomendação concreta: se um leitor historicamente passou por KYC em qualquer exchange principal usando um número de telefone dos Estados Unidos, México, Filipinas, Alemanha, Itália ou França, deve assumir que os metadados da operadora estão em circulação, substituir o 2FA baseado em SMS por um token de hardware ou, onde suportado, uma aplicação autenticadora vinculada ao dispositivo, e considerar rodar o número de telefone associado à conta da exchange sempre que o custo operacional de o fizer for suportável. Para novos cadastros, as alternativas no-KYC que já cobrimos deixaram de ser uma preferência de privacidade; passaram a ser uma mitigação de SIM-swap.

A lição mais desconfortável deste vazamento não é que a IDMerit falhou. É que o caminho regulado, auditado e conforme agora produz rotineiramente conjuntos de dados que o mercado criminal não teria conseguido montar por conta própria.

Fontes

• Global data leak exposes billion records (Cybernews)
• IDMerit data breach analysis (Bright Defense)
• 1 Billion KYC Records Exposed in Massive Identity Data Leak (Quantrail Data)
• IDMerit KYC Data: One Billion Records Exposed (FinCrime Central)
• IDMerit data leak (Zyphe)
• kycisbad reference repository (GitHub)

Registo de edições

• 2026-03-08 : Extraída a divulgação original da Cybernews; os totais por país foram raspados para uma tabela classificável e verificados cruzados contra a análise da Bright Defense.
• 2026-03-24 : Lida a negação da IDMerit duas vezes e comparada a redação, "nenhuma exposição no ambiente IDMERIT", contra a metodologia da Cybernews para atribuir o bucket.
• 2026-04-09 : Mapeada a lista de clientes da Sumsub (Bitget, Bitpanda, Bybit, Huobi, Wirex) contra a lista de fintechs downstream da IDMerit para encontrar sobreposição; omitidos três nomes onde a relação é apenas de release de imprensa.
• 2026-04-18 : Redigida a secção de SIM-swap usando a reportagem do KrebsOnSecurity sobre a condenação de 8 milhões de dólares como referência processual; depois cortado um parágrafo que divagava em especulação sobre preços de revenda.
• 2026-04-26 : Revisão final: removidas três frases especulativas sobre possíveis atores de ameaça por trás do MongoDB aberto, mantido apenas o que está documentado nos relatórios da Cybernews e Bright Defense.