Un marché du dark web vendrait soi-disant des scans de 153 millions de permis de conduire, prétendument liés à une violation chez la société de vérification d'identité IDScan.net, selon un rapport de Cybernews. Le FBI enquête désormais sur cet incident qui, s'il était confirmé, figurerait parmi les plus grandes expositions de documents d'identité délivrés par les gouvernements à ce jour.

Ce qui s'est passé : les allégations de violation chez IDScan

Selon le rapport, une annonce est apparue sur une plateforme du dark web proposant des scans numériques de permis de conduire, prétendument issus d'IDScan.net, une société qui fournit des services de vérification d'identité utilisés par les entreprises pour confirmer l'identité de leurs clients. L'ampleur de la prétendue violation, 153 millions d'enregistrements, est stupéfiante même selon les normes des récentes violations de données à grande échelle. À l'heure actuelle, la méthode exacte de compromission, le calendrier de la violation et l'étendue complète des personnes concernées n'ont pas été confirmés de manière indépendante. L'implication du FBI suggère que les enquêteurs prennent ces allégations suffisamment au sérieux pour lancer une enquête formelle.

Les scans de permis de conduire ne contiennent pas seulement des noms et des adresses. Ils incluent généralement une photo, un numéro de permis, une date de naissance, une description physique et parfois des données de code-barres qui encodent encore plus d'informations personnelles. Lorsque les sociétés de vérification d'identité collectent ces données pour confirmer qui est quelqu'un avant une transaction, elles deviennent des cibles de choix précisément parce qu'elles agrègent autant de données sensibles en un seul endroit.

Pourquoi 153 millions de permis de conduire comptent autant

La violation de permis de conduire s'inscrit dans un schéma plus large de groupes criminels ciblant les organisations qui détiennent des réservoirs concentrés de données d'identité, qu'il s'agisse d'un fournisseur de facturation, d'un cabinet d'avocats ou d'un service de vérification d'identité. Vpn.social a couvert des incidents similaires, notamment la violation par ransomware MCBS qui a divulgué les données de 1,3 million de patients et des campagnes d'extorsion comme la prise pour cible par Luna Moth des cabinets d'avocats Jones Day et WilmerHale. Ces affaires, ainsi que des tentatives d'extorsion comme la demande de rançon du gang Everest contre Stadler Rail, montrent que les groupes criminels s'en prennent de plus en plus aux organisations qui se situent au cœur des transactions de confiance : les sociétés de facturation, les conseils juridiques et les vérificateurs d'identité.

Ce qui distingue une violation de permis de conduire de nombreuses autres fuites de données, c'est la permanence des informations impliquées. Contrairement à un mot de passe ou même à un numéro de carte de crédit, un numéro de permis de conduire et une photo ne peuvent pas simplement être réinitialisés. Les victimes de ce type d'exposition peuvent devoir travailler avec le département des véhicules motorisés de leur État pour faire réémettre leurs documents, et même dans ce cas, les détails personnels sous-jacents — nom, date de naissance, description physique — restent compromis indéfiniment. Cela rend les données de permis de conduire volées particulièrement attractives pour le vol d'identité, la fraude d'identité synthétique et le contournement des contrôles de connaissance du client dans les banques, les plateformes d'échange et autres services réglementés.

Ce que cela signifie pour vous

Si vous avez utilisé des services de vérification d'identité en ligne, que ce soit pour ouvrir un compte financier, louer une voiture, vérifier votre âge ou effectuer une vérification des antécédents, il est possible que vos données de permis de conduire soient passées par un système similaire à celui prétendument compromis ici. Étant donné que la violation est encore en cours d'enquête et qu'IDScan.net n'a pas, selon les rapports disponibles, publié de confirmation publique complète de l'étendue, les personnes concernées pourraient ne pas recevoir de notification directe immédiatement.

Le risque pratique est double. Premièrement, les criminels peuvent utiliser des scans de permis volés pour usurper l'identité des victimes lorsqu'ils ouvrent de nouveaux comptes ou réussissent des contrôles d'identité reposant sur la vérification de documents. Deuxièmement, combinés à d'autres données divulguées comme des adresses e-mail ou des numéros de téléphone, un scan de permis de conduire donne aux fraudeurs presque tout ce dont ils ont besoin pour se faire passer de manière convaincante pour quelqu'un d'autre.

Comment vous protéger dès maintenant

Pendant que l'enquête sur cette prétendue violation chez IDScan se poursuit, voici des mesures concrètes que vous pouvez prendre pour réduire votre exposition :

  • Surveillez attentivement vos rapports de crédit et relevés bancaires pour détecter des comptes ou des demandes que vous ne reconnaissez pas.
  • Envisagez de placer une alerte à la fraude ou un gel de crédit auprès des principales agences d'évaluation du crédit si vous pensez que vos informations pourraient être incluses dans cette violation.
  • Soyez prudent avec les services qui vous demandent de télécharger une photo de votre permis de conduire, et demandez aux fournisseurs combien de temps ils conservent ces données et si elles sont chiffrées.
  • Méfiez-vous des tentatives de hameçonnage qui font référence à des détails personnels comme votre numéro de permis ou votre date de naissance, car les fraudeurs utilisent souvent des données partielles de violation pour rendre leurs messages frauduleux plus légitimes.
  • Vérifiez si l'agence des véhicules motorisés de votre État propose des conseils ou des options de remplacement si votre numéro de permis a été compromis.

La vente présumée de 153 millions de permis de conduire liés à IDScan rappelle que la vérification d'identité, censée protéger les consommateurs, peut elle-même devenir une responsabilité lorsque les entreprises qui l'effectuent sont victimes de violations. Alors que l'enquête du FBI se déroule, davantage de détails sur l'étendue et la méthode de cet incident devraient être révélés. En attendant, traiter votre numéro de permis de conduire avec la même prudence que vous appliqueriez à un numéro de sécurité sociale est une précaution raisonnable. Rester vigilant face aux activités inhabituelles sur vos comptes dès maintenant est bien plus facile que de démêler un vol d'identité plus tard.