153 millions de permis de conduire vendus sur le dark web : le cas IDScan

> En bref : Un service du dark web nommé « Nexus » vendait l'accès à 153 millions de permis de conduire américains et canadiens et 3 millions de documents de voyage. Krebs on Security a pu vérifier l'authenticité des permis et a relié la fuite au service d'identité IDScan. Le FBI enquête. À elle seule, la base couvre environ 63 % de l'ensemble des permis américains.

Les chiffres

D'après Krebs on Security, le service « Nexus » proposait :

Krebs a pu vérifier l'authenticité des permis, dont le sien et ceux de neuf proches. Le secrétaire à la Défense, un assistant directeur du FBI et d'autres hauts fonctionnaires figuraient parmi les dossiers. Le service a d'ailleurs disparu du dark web peu après la publication de l'article.

Pourquoi un permis est une mine d'or

Un permis n'est pas seulement un moyen de voler une identité. C'est une clé de jointure : le numéro de permis apparaît dans d'autres bases, et le rapprochement avec une adresse et une photo transforme un enregistrement anonyme en profil exploitable.

L'histoire est pleine d'exemples :

Si une petite équipe d'investigation assemble des données russes fuites, imaginez ce que les services chinois font des données américaines qui fuient.

La filière des éditeurs d'identité

Les fuites chez les éditeurs de vérification d'identité se répètent :

Ces services sont nécessaires pour détecter la fraude, mais ils concentrent une masse critique de données d'identité. C'est le profil type d'une cible à haute valeur — et d'un point de concentration.

Ce qu'il faut vérifier maintenant

La leçon

Une base de données d'identité n'est pas un actif. C'est un point de concentration. Plus elle est complète, plus elle est précieuse pour un attaquant. La question n'est pas « est-ce que ça peut fuir ? » mais « que fait un attaquant avec 153 millions de permis et 400 000 nouveaux par jour ? ».