Le FBI enquête sur une fuite de données massive qui se déroule en temps réel via IDScan.net
« J’ai loué un véhicule et, en quelques heures, mon permis de conduire était mis en vente sur Nexus ». Le FBI enquête sur une fuite de données massive qui se déroule en temps réel via IDScan.net
Si vous avez présenté votre permis de conduire, votre passeport ou tout autre document d’identité pour vérifier vos informations dans la vie réelle, par exemple dans un bar, un magasin de cannabis ou lors de la réservation d’une voiture de location, il y a de fortes chances que ces pièces aient été numérisées via le service de vérification en ligne dénommé IDscan. Problème : Cette plateforme a été piratée selon ce qui ressort des publications du spécialiste en cybersécurité Brian Krebs. Conséquence : mise en vente (via la plateforme Dark Web dénommée Nexus) des scans numériques de plus de 153 millions de permis de conduire et autres pièces d'identité, principalement de citoyens américains et canadiens. Le tableau inquiète dans un contexte où les pays poussent de plus en plus pour l’instauration de la vérification d’identité en ligne.
Le service en ligne Nexus est une plateforme criminelle du Dark Web dont l'existence a été révélée au début du mois de septembre 2026153M US drivers license scans for sale on the DarkWeb
— vxdb (@vxdb) September 2, 2026
The service advertised as 'Nexus' now offline hosted 153 million US and Canadian drivers license scans, supposedly originating from IDScan.
This is a massive breach
Read more: https://t.co/FLIKDlQPRa pic.twitter.com/m1ltWVP07A
L'affaire a été mise en lumière par le célèbre journaliste spécialisé en cybersécurité Brian Krebs (du site KrebsOnSecurity). Un cybercriminel a fait la promotion de Nexus sur le forum russophone de cybercriminalité Exploit, en offrant comme "échantillon gratuit" le propre permis de conduire de Brian Krebs pour prouver l'authenticité de ses données.
La base de données comprenait :
- Plus de 153 millions de permis de conduire.
- Plus de 10 millions de cartes d'identité.
- Environ 3 millions de documents de voyage et identités internationales.
- Plus de 579 000 cartes médicales (notamment des cartes de dispensaires de cannabis).
- Les pièces d'identité de hauts responsables, y compris du secrétaire à la Défense des États-Unis (Pete Hegseth) et d'agents du FBI.
Comment fonctionnait ce service dénommé Nexus (il est désormais inaccessible) ?
D'après les analyses techniques et le fonctionnement initial du site (qui a brièvement fermé ou est passé hors ligne suite aux révélations) :
- Le service ne vendait pas une vieille base de données statique. Les chercheurs ont constaté que la base de données de Nexus se mettait à jour en temps réel, ajoutant environ 500 000 nouveaux documents par jour. Cela indiquait une fuite active et directe depuis un système tiers.
- Les recherches ont lié cette fuite à l'entreprise IDScan.net, une société spécialisée dans la vérification d'identité et la prévention des fraudes. Cette entreprise fournit des solutions de numérisation de pièces d'identité pour de grandes enseignes (comme Target, FedEx, ou Hertz) ainsi que pour des dispensaires. Lorsque les clients faisaient scanner leur pièce d’identité à un guichet, l'image était interceptée ou siphonnée.
- Contrairement aux fuites de données textuelles classiques (mots de passe, emails), Nexus fournissait des scans recto-verso haute résolution, des photos de profil, des images de vérification infrarouges/UV et des horodatages de localisation.
- La plateforme fonctionnait comme un moteur de recherche payant. Les acheteurs du Dark Web pouvaient rechercher des individus spécifiques ou acheter des lots de documents pour contourner les processus de vérification d'identité (KYC) des banques, des organismes de crédit ou des plateformes en ligne.
Des enquêtes dont celle du FBI sont en coursWho’s really accountable here?
— MEGA (@MEGAprivacy) September 2, 2026
IDScan? If this dump came from them
For running a cloud that can keep licence scans long after scanning is done. Nexus says it pulled new files for over a year. It claims more than 153 million licences are for sale. IDScan has not confirmed the… https://t.co/qAjgCv9jEP
Le bureau du FBI de La Nouvelle-Orléans a immédiatement ouvert une enquête criminelle. La société IDScan.net a également lancé des investigations internes et fait face à plusieurs vagues de poursuites judiciaires. Bien que le site vitrine Nexus ait rapidement disparu du Dark Web après la publication de l'alerte, les experts redoutent que la base de données compromise ne continue de circuler activement dans les réseaux criminels.
C’est la pertinence et la fiabilité de la vérification d’identité en ligne telle que voulue par les gouvernements qui est remise en question
Centraliser des millions de documents d'identité pour les vérifier crée des bases de données hautement attractives pour les pirates. Lorsque ces plateformes sont compromises, la vérification en ligne produit l'effet inverse : elle alimente l'usurpation d'identité.
Dans le cadre de l’affaire IDMerit, une base de données non sécurisée appartenant à une filiale de ce leader de la vérification d’identité a exposé un milliard d'enregistrements et de fiches personnelles sensibles sur le web, offrant un véritable kit d'usurpation d'identité en libre service pour les cybercriminels.
Pour ce qui est du cas de Discord, environ 70 000 photos de documents d'identité, collectées à l'origine dans le cadre d'un protocole de vérification d'âge pour protéger les mineurs, ont fuité sur Internet suite au piratage d'un sous-traitant.
Et pourtant les gouvernements continuent de pousser dans le sens de l’implémentation de la vérification d’identité en ligne. Le projet semble avoir pris du retard. Sinon, l’Union européenne a déjà annoncé son intention de procéder à une vérification de l’identité des internautes et si possible au travers d’une carte d’identité numérique.
Et vous ?
Pour ou contre la vérification d’identité en ligne ?
Voir aussi :
Répondre avec citation
Partager