Une faille dans le système de vérification d’identité expose des millions de documents d’identité sensibles

La volonté d’imposer la présentation d’une pièce d’identité pour accéder à Internet repose sur l’hypothèse que ces documents resteront en sécurité. Une base de données contenant 153 millions de scans de permis de conduire montre à quel point cette hypothèse est hasardeuse.

S’il vous fallait encore une preuve que le fait pour les gouvernements de faire pression sur les entreprises afin qu’elles collectent les données d’identité de leurs clients ou utilisateurs est une mauvaise idée, il suffit de regarder ce qui s’est passé au début de ce mois. Un service du dark web, mis en avant le 31 août, proposait plus de 153 millions de scans de permis de conduire, plus de 10 millions d’autres cartes d’identité, plus de 3 millions de documents de voyage et/ou de cartes d’identité internationales, ainsi qu’au moins 579.000 cartes de santé.

Ces données proviendraient apparemment d’une entreprise chargée de vérifier l’identité des personnes. Ce service, baptisé Nexus, a fait l’objet d’une annonce sur le forum de cybercriminalité en langue russe Exploit.

Le chercheur en sécurité Brian Krebs a constaté qu’une recherche vierge sur Nexus renvoyait environ 11,5 millions de pages de résultats, avec environ 15 résultats par page. Cela corroborerait l’affirmation selon laquelle la base de données contenait plus de 153 millions de scans de permis de conduire, et que ce nombre avait augmenté de près de 400.000 en 24 heures.

Nexus a lui-même affirmé avoir « continuellement exfiltré de nouvelles données pendant plus d’un an vers notre base de données privée » – mais cela n’est pas vérifié et pourrait s’agir d’un argument publicitaire.

Ce que Krebs a pu vérifier, c’est que son propre permis de conduire de Virginie figurait parmi ceux disponibles sur le site. Il a effectué, avec leur autorisation, des recherches sur les permis de conduire de plus d’une douzaine d’amis et de proches ; neuf personnes dont les dossiers apparaissaient ont déclaré que les horodatages associés correspondaient à leurs déplacements ou les suivaient de près.

Dans le cas de Krebs et de sa mère, les horodatages correspondaient à une location de voiture effectuée en juin 2025 auprès de Hertz. Leurs enregistrements avaient été créés à quelques secondes d’intervalle, ce qui correspondait à leur témoignage selon lequel ils avaient remis les deux permis au représentant de l’agence de location en même temps.

L’enregistrement de Krebs contenait trois paires d’images montrant le recto et le verso du permis en lumière visible, en infrarouge et en ultraviolet.

Le chercheur en protection de la vie privée Zach Edwards a également retrouvé son permis sur Nexus. Son horodatage correspondait à un voyage à Las Vegas, où il avait présenté le document à la TSA, à l’hôtel Aria et au dispensaire Planet13. Edwards a précisé que le dispensaire était le seul des trois endroits où il savait que son permis avait été scanné.

IDScan.net, une entreprise basée en Louisiane (l’un des premiers États à avoir encouragé le renforcement des contrôles d’identité en mettant en place son système d’identité numérique), a annoncé en 2022 un accord exclusif de vérification d’identité avec Planet13. Elle affirme assurer la vérification pour plus de 1.000 dispensaires de cannabis dans 19 États.

L’entreprise affirme que des marques mondiales utilisent sa technologie dans plus de 20.000 points de vente et que ses systèmes effectuent plus de 21 millions de vérifications chaque mois. Sur son site, elle cite Hertz, FedEx, Caesars Entertainment, Target, Motorola Solutions et Jack Henry parmi ses clients ou les marques utilisant sa technologie.

Jillian Kossman, d’IDScan.net, a déclaré à Krebs : « Pour l’instant, je ne suis pas en mesure de partager d’autres informations, mais les mises à jour que vous nous avez fournies ont été bien accueillies et se sont avérées utiles à l’enquête de notre équipe. »

Le bureau local du FBI à La Nouvelle-Orléans a ouvert une enquête officielle le 1er septembre concernant une violation apparente impliquant IDScan.net.

Les dossiers Nexus comprenaient le permis de conduire du secrétaire américain à la Défense, Pete Hegseth, et celui d’un directeur adjoint du FBI.

C’est le système que les politiciens nous vendent : présenter ses papiers à chacun de ses déplacements. Prochainement, ils voudront que vous présentiez une pièce d’identité pour vous exprimer en ligne ou accéder aux propos d’autrui, le tout au nom de la « sécurité des enfants ».

Ce n’est rien d’autre qu’un filet de surveillance qui ne peut que déboucher sur un désastre.

yogaesoteric
11 septembre 2026