IDScan confirme une violation affectant plus de 150 millions de pièces d'identité

La société de vérification d'identité IDScan.net a confirmé ce que les chercheurs en sécurité mettaient en garde depuis des semaines : ses systèmes ont été compromis et les données personnelles liées à plus de 150 millions de dossiers de permis de conduire ont été exposées. Cette confirmation fait suite à des rapports antérieurs selon lesquels un service du dark web proposait des scans numériques de permis de conduire liés à la plateforme d'IDScan.

Ce qui rend cet incident notable, ce n'est pas seulement son ampleur, c'est la liste de ses clients. Hertz, FedEx et Target ont tous été cités comme des entreprises qui s'appuyaient sur les services de vérification d'IDScan, ce qui signifie que les clients de ces entreprises ont pu voir leurs données de permis de conduire aspirées dans la violation sans jamais savoir qu'IDScan était impliqué dans la transaction. La plupart des personnes qui louaient une voiture, vérifiaient une livraison ou effectuaient un contrôle d'âge en caisse n'avaient aucune relation directe avec IDScan. Elles interagissaient simplement avec une marque familière qui, en coulisses, externalisait la vérification d'identité auprès d'un fournisseur tiers.

Cette violation a déjà suscité un examen juridique. Comme nous l'avons rapporté dans notre article précédent sur la violation d'IDScan et son rôle dans le débat sur la sécurité liée à la KOSA, l'ampleur des données de permis de conduire exposées est devenue un point de friction dans les discussions plus larges sur la quantité d'informations d'identification personnelle que les entreprises devraient être autorisées à collecter, stocker et partager avec des fournisseurs externes.

Pourquoi les fournisseurs tiers de vérification d'identité constituent une surface d'attaque croissante

L'incident d'IDScan illustre un problème structurel qui s'étend bien au-delà d'une seule entreprise. Lorsque de grandes marques doivent vérifier l'âge, l'identité ou l'éligibilité d'un client, beaucoup ne développent pas cette capacité en interne. Elles acheminent plutôt des documents sensibles, permis de conduire, passeports et autres pièces d'identité émises par le gouvernement, via des fournisseurs tiers spécialisés qui promettent une vérification plus rapide et plus précise.

Cet arrangement crée un point de défaillance unique. Au lieu d'une violation affectant la clientèle d'une seule entreprise, une compromission chez un fournisseur partagé comme IDScan peut se répercuter sur toutes les entreprises qui en dépendent. Un consommateur qui n'a jamais soumis directement d'informations à IDScan.net se retrouve tout de même avec ses données de permis de conduire en danger, simplement parce que le détaillant, la société de location ou le service de livraison en lequel il avait confiance a externalisé cette étape de vérification.

Cette dynamique est exactement ce qui a alimenté les poursuites judiciaires et l'attention réglementaire détaillées dans notre précédente couverture de la violation d'IDScan alimentant le débat sur la sécurité liée à la KOSA. À mesure que davantage de plateformes adoptent la vérification d'âge et les contrôles d'identité, souvent en réponse à de nouvelles réglementations, le flux de documents sensibles transitant par des fournisseurs tiers ne cesse de croître, tout comme le rayon d'impact potentiel lorsqu'un de ces fournisseurs est compromis.

Ce que les clients de Hertz, FedEx et Target devraient faire maintenant

Si vous avez loué un véhicule chez Hertz, vérifié une livraison via FedEx ou effectué un contrôle d'identité chez Target pendant la période où IDScan traitait des données, il vaut la peine de considérer vos informations de permis de conduire comme potentiellement exposées. Un numéro de permis de conduire, combiné à un nom, une date de naissance et une adresse, suffit souvent aux voleurs d'identité pour ouvrir de nouveaux comptes, déposer des déclarations fiscales frauduleuses ou se faire passer pour vous dans d'autres contextes.

Commencez par vérifier si l'une des trois entreprises nommées vous a envoyé directement une notification de violation. Même si vous n'en avez pas encore reçu, envisagez de placer une alerte à la fraude ou un gel de crédit auprès des principaux bureaux de crédit, car les données de permis de conduire sont fréquemment utilisées pour contourner d'autres contrôles d'identité. Surveillez vos comptes pour détecter toute activité inhabituelle et méfiez-vous des tentatives d'hameçonnage qui pourraient faire référence à la violation pour paraître légitimes. Les escrocs suivent souvent les violations très médiatisées par des e-mails ou des SMS ciblés conçus pour soutirer encore plus d'informations aux personnes affectées.

Limiter l'exposition future : réduire la quantité de données d'identité que vous partagez

Même si vous ne pouvez pas contrôler la manière dont un détaillant ou une société de location gère la vérification en coulisses, vous pouvez être plus délibéré sur le moment et le lieu où vous remettez une image ou un scan de votre permis de conduire. Demandez si une inspection physique suffit avant d'accepter de téléverser une photo de votre pièce d'identité sur une application ou un site web. Lorsque la vérification numérique est inévitable, vérifiez si l'entreprise divulgue quel fournisseur traite ces données, et recherchez des politiques de confidentialité qui précisent combien de temps les dossiers sont conservés.

Il vaut également la peine de rechercher périodiquement vos propres informations accompagnées de termes comme votre nom et « permis de conduire » pour détecter les premiers signes d'exposition, et d'utiliser des services de surveillance d'identité qui surveillent spécifiquement l'usage abusif des pièces d'identité gouvernementales plutôt que seulement les numéros de carte de crédit.

L'essentiel

La violation de données d'IDScan et l'exposition des permis de conduire montrent à quelle vitesse la compromission d'un seul fournisseur peut se propager à travers des marques connues de tous. Les clients de Hertz, FedEx et Target n'ont pas choisi de partager leurs données avec IDScan.net, et pourtant beaucoup font désormais face aux mêmes risques que s'ils l'avaient fait. À mesure que la vérification d'identité devient plus courante en ligne et en magasin, rester vigilant quant aux fournisseurs qui traitent vos documents, et résister lorsqu cela n'est pas clair, est l'un des rares moyens pour les consommateurs de contrer cette surface d'attaque croissante. Si vous avez récemment fait affaire avec l'une des entreprises citées, prenez dès maintenant des mesures préventives plutôt que d'attendre l'arrivée d'une lettre de notification officielle.