Contexte de la fuite
Le service d’identification IDScan a vu plus de 153 millions de permis de conduire américains et canadiens exposés sur le dark web via la plateforme Nexus. La même source indique la présence de 3 millions de documents de voyage. Selon le journaliste Brian Krebs, le volume quotidien de nouvelles licences dans la base a atteint près de 400 000, ce qui montre une exfiltration continue pendant plus d’un an.
Parmi les données compromises figuraient des licences de hauts fonctionnaires, dont le secrétaire de la guerre Pete Hegseth et plusieurs agents du FBI. La présence de ces identités confirme que le vol ne ciblait pas uniquement le grand public mais aussi des acteurs gouvernementaux.
Mécanismes d’exfiltration et architecture des services d’identification
IDScan propose la vérification d’identité en ligne, ce qui implique le stockage de photos, adresses et numéros de permis dans des bases de données accessibles via API. La fuite suggère que les attaquants ont compromis les accès API ou les systèmes de sauvegarde, puis ont automatisé le téléchargement de nouveaux enregistrements chaque jour. L’absence de chiffrement au repos ou de segmentation des données aurait facilité la collecte massive.
Le service Nexus, hébergé sur le dark web, a présenté les dossiers comme « authentiques », ce qui indique que les fichiers n’étaient pas altérés. La capacité à ajouter 400 000 licences par jour implique un script d’extraction automatisé, probablement basé sur des requêtes répétées contre une interface non protégée par authentification forte.
Implications pour la sécurité nationale
Les permis de conduire contiennent des numéros uniques souvent réutilisés dans d’autres bases, comme les dossiers fiscaux ou les registres de sécurité. En croisant ces informations, des services de renseignement étrangers peuvent enrichir leurs profils, comme l’ont montré les opérations chinoises contre Anthem, Equifax ou le OPM. Les enquêtes de Bellingcat ont démontré que des bases similaires ont permis d’identifier des agents russes et de retracer des tentatives d’assassinat.
Avec 63 % des permis américains présents dans la fuite, la base constitue une source d’intelligence de grande valeur. Les acteurs étatiques peuvent exploiter ces données pour mener des campagnes de phishing ciblées, infiltrer des réseaux ou contourner les contrôles d’accès basés sur l’identité.
Réponses et perspectives réglementaires
Le FBI a ouvert une enquête, et IDScan a confirmé son implication. D’autres fuites récentes – AU10TIX, le fournisseur de vérification d’âge 5CA et National Public Data – montrent que le secteur est exposé de façon récurrente. Les experts appellent à une réglementation stricte, incluant l’obligation de chiffrement complet et de audits de sécurité indépendants.
À court terme, la pression financière semble être le levier le plus efficace pour inciter les entreprises à renforcer leurs défenses. Sans cadre légal contraignant, les incidents de ce type risquent de se multiplier, augmentant le risque de compromission des infrastructures de renseignement américaines.
