Le FBI enquête sur une possible fuite d’une ampleur inhabituelle : un service criminel apparu sur le dark web affirme vendre plus de 153 millions de scans de permis de conduire américains et canadiens. Baptisée Nexus, la plateforme proposait aussi des millions de cartes d’identité et de documents de voyage, ainsi que des centaines de milliers de cartes médicales. Elle a disparu peu après la publication des premières révélations, sans que cela garantisse la suppression des données.
Le chiffre de 153 millions reste une revendication des opérateurs de Nexus, pas un total confirmé par les autorités. Le journaliste spécialisé Brian Krebs a néanmoins vérifié l’authenticité de dossiers appartenant à neuf personnes, dont le sien. Le FBI dit examiner l’incident. La source exacte des fichiers et le nombre réel de victimes ne sont pas encore établis.
Des scans authentiques et une base qui semblait encore alimentée
Nexus a été promu sur un forum cybercriminel russophone comme un moteur de recherche d’identité. Selon l’enquête de KrebsOnSecurity, ses opérateurs revendiquaient plus de 153 millions de permis, dix millions d’autres cartes d’identité, trois millions de documents internationaux ou de voyage et au moins 579 000 cartes médicales. Une recherche sans critère renvoyait environ 11,5 millions de pages de résultats.
Plus inquiétant, le compteur des permis aurait augmenté d’environ 400 000 en vingt-quatre heures. Cette progression a conduit les chercheurs à soupçonner une extraction toujours active plutôt qu’une vieille archive remise en vente. Des documents de responsables publics figuraient parmi les résultats, ce qui ajoute un risque de sécurité aux fraudes visant les particuliers.
Les premiers indices pointent vers des images collectées par un prestataire de vérification d’identité installé en Louisiane. IDScan.net a été cité dans le signalement et a indiqué enquêter, mais Reuters n’a pas pu confirmer qu’il était la source. L’entreprise n’a pas annoncé de compromission, de période concernée ni de liste de clients touchés. Il faut donc éviter de transformer cette piste en attribution définitive.
Pourquoi une copie de permis vaut davantage qu’une simple adresse
Un scan de pièce officielle regroupe une photographie, un nom complet, une date de naissance, une adresse et un numéro de document dans un format considéré comme fiable. Associé à d’autres informations déjà divulguées, il peut faciliter l’ouverture frauduleuse d’un compte, le contournement d’un contrôle à distance ou la fabrication d’un dossier crédible pour tromper un service client.
La fraude ne repose pas nécessairement sur une parfaite copie physique. De nombreux parcours demandent seulement de photographier une pièce puis d’effectuer un selfie. Les systèmes les plus robustes contrôlent l’authenticité du document, sa validité et la présence réelle de la personne. D’autres se contentent d’une image lisible. Une base organisée et interrogeable permet aux criminels de choisir une identité correspondant à l’âge, à la région ou au profil recherché.
L’incident interroge aussi la centralisation des contrôles. Un bar, un loueur automobile ou un commerce peut scanner un document pour satisfaire une obligation ponctuelle. Si l’image complète est ensuite conservée par un intermédiaire commun à des milliers d’établissements, une seule brèche agrège des données qui n’auraient jamais dû se retrouver au même endroit. KultureGeek avait déjà rapporté l’exposition de près d’un million de pièces via PuffPal, ainsi que le piratage de l’ANTS en France. Le nouveau dossier illustre le même risque à une échelle potentiellement bien supérieure.
Ce que l’enquête doit encore établir
Les autorités devront identifier l’infrastructure attaquée, interrompre tout accès encore actif et dater les fichiers. Un document ancien n’a pas le même statut qu’un permis valide récemment scanné. Les enquêteurs devront également distinguer le nombre d’images du nombre de personnes : un même individu peut posséder plusieurs versions d’un permis, et les revendications criminelles mélangent parfois des doublons pour gonfler un total.
Une notification officielle sera indispensable pour permettre aux victimes de savoir si elles sont concernées. En attendant, il n’existe pas de base publique légitime dans laquelle saisir son numéro de permis pour vérifier sa présence ; les sites promettant un contrôle pourraient eux-mêmes collecter davantage d’informations. Aux États-Unis, les personnes constatant une usurpation peuvent utiliser le portail officiel IdentityTheft.gov, surveiller leurs comptes et envisager un gel de leur dossier de crédit auprès des agences concernées.
