Présentation du incident
Une enquête de Brian Krebs a révélé qu’une société d’identification, IDScan.net, a laissé en fuite plus de 153 millions de scans de permis de conduire provenant des États‑Unis et du Canada pendant plus d’un an. La fuite était continue : le jour même de la révélation, 400 000 nouveaux documents ont été ajoutés à la base disponible sur le dark‑web.
Fonctionnement du service d’identification
IDScan.net, basée en Louisiane, fournit des services d’« age verification » à des entreprises variées : chaînes de location automobile comme Hertz, détaillants (Target, FedEx), dispensaires de cannabis et plusieurs plateformes technologiques. Les clients soumettent une image du permis de conduire de l’utilisateur, que le système numérise, stocke et associe à des métadonnées (date, lieu de capture, catégorie d’usage). Le processus repose sur des serveurs centralisés qui conservent les images en clair, prétendument protégées par des certifications GDPR, CCPA et d’autres normes de conformité.
Analyse des impacts sécuritaires
Le service de revente Nexus, hébergé sur le dark‑web, propose ces scans à 100 USD l’unité, avec un aperçu gratuit avant achat. La disponibilité en temps réel indique une compromission permanente du flux de données : chaque nouvelle vérification effectuée par les clients d’IDScan.net alimente automatiquement le répertoire du voleur. Les risques sont multiples. Les permis de conduire sont couramment utilisés comme preuve d’identité pour ouvrir des lignes de crédit ; leur détournement facilite le vol d’identité et le fraude financière. De plus, les algorithmes d’apprentissage automatique de reconnaissance faciale peuvent exploiter ces images pour contourner les systèmes biométriques, augmentant la portée des attaques automatisées. Le chercheur en sécurité Larry Baldwin a souligné que les victimes incluent des personnes cherchant à rester anonymes – victimes de violences domestiques ou bénéficiaires du programme de protection des témoins – dont les nouvelles identités sont désormais vulnérables à cause de ces archives numériques.
Réaction légale et perspectives
Le FBI New Orleans a ouvert une enquête officielle suite à la découverte du flux continu. Paradoxalement, IDScan.net continue de publier un « Trust Center » vantant sa conformité aux législations sur la protection des données, alors même que les preuves montrent une absence de surveillance interne pendant plus d’un an. Cette affaire remet en cause la viabilité des législations imposant la vérification d’âge ou d’identité, comme le KOSA (Kids Online Safety Act), qui s’appuient sur la confiance accordée à des fournisseurs « certifiés ». Les législateurs devront désormais exiger des audits techniques indépendants, une traçabilité des accès aux données et des mécanismes de chiffrement en‑repos afin de garantir qu’une fuite de ce type ne puisse plus se produire.
