Le FBI enquête sur une potentielle fuite de données d’une ampleur sans précédent. Un service criminel actif sur le dark web prétend proposer à la vente plus de 153 millions de scans de permis de conduire américains et canadiens. Appelée Nexus, cette plateforme met également en vente des millions de cartes d’identité et de documents de voyage, ainsi que plusieurs centaines de milliers de cartes médicales. Elle a disparu peu après le lancement des premières révélations, sans toutefois garantir la suppression des données.
Le chiffre de 153 millions est une affirmation des opérateurs de Nexus, et non un total vérifié par les autorités. Cependant, le journaliste spécialisé Brian Krebs a confirmé l’authenticité des dossiers de neuf personnes, y compris le sien. Le FBI a déclaré qu’il menait une enquête sur cet incident. La source précise des fichiers et le nombre réel des victimes restent à déterminer.
Des scans authentiques et une base de données toujours active
Nexus a été présenté sur un forum cybercriminel russophone comme un moteur de recherche orienté vers l’identité. D’après uneenquête menée par KrebsOnSecurity, ses opérateurs revendiquaient plus de 153 millions de permis, dix millions d’autres cartes d’identité, trois millions de documents internationaux et au moins 579 000 cartes médicales. Une recherche sans critère spécifique a généré près de 11,5 millions de résultats.
Plus préoccupant encore, le nombre de permis aurait crû d’environ 400 000 en l’espace de vingt-quatre heures. Cette augmentation a amené les chercheurs à suspecter une extraction de données toujours active, plutôt que la vente d’une archive obsolète. Parmi les résultats, des documents provenant d’agents publics ont également été trouvés, ce qui représente un risque accru pour la sécurité en matière de fraude ciblant des individus.
Les premières investigations suggèrent que des images pourraient avoir été collectées par un prestataire de services de vérification d’identité basé en Louisiane. IDScan.net a été mentionnée dans le rapport et a affirmé mener sa propre enquête, toutefois Reuters n’a pas pu vérifier son implication. La société n’a annoncé aucun incident de sécurité, ni précisé la période concernée ou la liste des clients affectés. Il convient donc de ne pas tirer de conclusions hâtives sur cette piste.
La valeur d’une copie de permis de conduire dépasse celle d’une simple adresse
Une numérisation d’un document officiel inclut une photographie, le nom complet, la date de naissance, l’adresse ainsi que le numéro du document dans un format jugé fiable. Couplées avec d’autres informations déjà divulguées, elles facilitent lourdement l’ouverture de comptes frauduleux, l’évitement des contrôles à distance ou la création d’identités crédibles pour tromper le service client.
La fraude ne dépend pas nécessairement d’une reproduction physique parfaite. Pour de nombreux processus, il suffit de photographier le document et de réaliser un selfie. Les systèmes les plus sophistiqués vérifient l’authenticité du document ainsi que la présence réelle de la personne, tandis que d’autres se contentent d’une image lisible. Une base de données structurée et consultable permet aux criminels de sélectionner une identité spécifique en fonction de critères tels que l’âge, la région ou tout autre profil recherché.
Cette situation soulève aussi des interrogations sur la centralisation des contrôles. Bar, société de location de véhicules ou entreprise peuvent numériser un document pour répondre à une obligation ponctuelle. Si ces informations sont ensuite conservées par un intermédiaire partagé par des milliers d’établissements, une seule faille peut permettre l’agrégation de données qui n’auraient jamais dû se retrouver au même endroit. KultureGeek a précédemment rapporté l’exposition de près d’un million de fichiers par le biais de PuffPal, ainsi que le piratage de l’ANTS en France. Ce nouveau cas illustre un risque similaire à une échelle potentiellement bien plus vaste.
Les interrogations qui subsistent pour l’enquête
Les autorités devront identifier l’infrastructure ciblée, interrompre tout accès encore opérationnel et déterminer la date des fichiers. Un ancien document n’a pas la même valeur qu’une licence récemment numérisée. Les enquêteurs auront également besoin de faire la distinction entre le nombre d’images et le nombre de personnes : un même individu peut posséder plusieurs versions d’un permis, et les poursuites pénales ont parfois tendance à additionner les doublons pour augmenter le total.
Une notification officielle sera essentielle pour permettre aux victimes de savoir si elles sont concernées. Dans l’intervalle, aucune base de données publique légitime n’existe pour vérifier si son numéro de permis est impliqué ; les sites qui promettent une surveillance pourraient, en réalité, collecter davantage d’informations. Aux États-Unis, les personnes qui suspectent un vol d’identité peuvent utiliser le portail officiel Vol d’identité.gov pour surveiller leurs comptes et envisager de geler leur dossier de crédit auprès des agences concernées.
