Le service du dark web Nexus vend 153 millions de permis de conduire liés à IDScan.net

Une place de marché du dark web appelée Nexus a été découverte en train de vendre des scans numériques de plus de 153 millions de permis de conduire de résidents américains et canadiens, ainsi que 10 millions de cartes d'identité, 3 millions de documents de voyage et 579 000 cartes médicales, selon le journaliste d'investigation Brian Krebs. Le bureau du FBI de La Nouvelle-Orléans a ouvert une enquête sur la source apparente de la fuite.

L'ampleur de cette fuite la distingue des incidents habituels de vol d'identité. La plupart des bases de données d'identifiants divulguées contiennent des noms, des e-mails et des mots de passe — réutilisables mais remplaçables. Les scans de permis de conduire sont différents : ils incluent des détails biométriques physiques, des dates d'expiration et des numéros de documents délivrés par le gouvernement, bien plus difficiles à changer pour les victimes, et les images elles-mêmes (recto-verso plus scans infrarouges et ultraviolets) peuvent servir à falsifier des copies physiques ou numériques convaincantes.

Krebs a retracé les données jusqu'à IDScan.net, une société de vérification d'identité basée en Louisiane qui affirme traiter plus de 21 millions de vérifications d'identité par mois pour des clients tels que Hertz, Target, FedEx et Caesars Entertainment. L'analyse des horodatages de plusieurs scans de victimes correspondait à des dates de location de véhicules chez Hertz, suggérant que les comptoirs de location de voitures — et non les aéroports ou les dispensaires, malgré l'activité de vérification pour dispensaires d'IDScan.net — étaient un point de compromission probable.

La fuite touche les plus hauts échelons du gouvernement : le permis de conduire du secrétaire à la Défense américain Pete Hegseth figurait parmi les documents en vente, aux côtés de ceux de plusieurs autres hauts responsables. Krebs a rapporté que l'opérateur de Nexus avait proposé son propre permis de Virginie comme échantillon gratuit lors de la promotion du service — et que la base de données s'est enrichie d'environ 400 000 nouveaux enregistrements en 24 heures après son rapport initial.

Nexus serait passé hors ligne peu après que le reportage de Krebs a attiré l'attention du public, mais cela n'annule pas l'exposition : une fois copiés, les scans physiques d'identité peuvent être revendus indéfiniment sur d'autres plateformes.