Des millions d’identités potentiellement volées : une enquête lancée au Canada

Le commissaire à la protection de la vie privée du Canada, Philippe Dufresne, a lancé une enquête sur une fuite de données impliquant l’entreprise américaine IDScan.net. Cette fuite concerne potentiellement des millions de permis de conduire et autres pièces d’identité canadiennes et américaines. Un tiers non autorisé a accédé à la base de données de l’entreprise, exposant des informations personnelles comme des scans numériques de permis de conduire, incluant le visage, le nom complet, la date de naissance, l’adresse, la signature et le numéro de permis. IDScan.net propose des logiciels de vérification d’identité utilisés par des bars, casinos, sociétés de location de voitures et hôtels. L’enquête portera sur la pertinence des mesures de sécurité mises en place par l’entreprise et sur le respect de la législation canadienne en matière de protection des données.

Selon Ali Dehghantanha, professeur en cybersécurité à l’Université de Guelph, cette fuite est particulièrement grave car les permis de conduire contiennent des informations impossibles à réinitialiser, contrairement à un mot de passe. Ces données permettent à un fraudeur d’ouvrir des comptes bancaires, louer des voitures ou usurper une identité en fournissant une photo et un numéro de permis. Le professeur s’inquiète de l’exploitation de ces images par des outils d’intelligence artificielle (IA), qui pourraient faciliter le contournement des systèmes de vérification d’identité en ligne. Les conséquences de cette fuite pourraient se manifester dans les mois ou années à venir, et non immédiatement.

Zach Edwards, chercheur en cybersécurité, qualifie cette fuite de « plus grande fuite de données concernant les permis de conduire de l’histoire », avec plus de 150 millions d’enregistrements potentiellement exposés. Cependant, Ali Dehghantanha nuance ce chiffre, soulignant que les criminels ont intérêt à gonfler l’ampleur de la fuite. Jean-Philippe Décarie-Mathieu, analyste chez Cyber Québec, considère cette fuite comme « une goutte d’eau dans un océan », rappelant que les vols de scans de pièces d’identité sont fréquents depuis l’essor du Big Data il y a 15 à 20 ans. Il n’existe actuellement aucun moyen public pour vérifier si une personne est concernée par cette fuite.

Zach Edwards a découvert que son propre permis de conduire faisait partie des données volées en achetant une copie numérique de son permis sur le web clandestin (ou dark web), un réseau internet inaccessible via les moteurs de recherche classiques et souvent utilisé pour des activités illégales. Pour un montant d’environ 100 dollars, Edwards a obtenu son permis en fournissant seulement son nom, sa date de naissance et l’État où il a été délivré. Il n’a pas reçu de notification de la part d’IDScan.net. Les criminels pourraient revendre ces données en gros, ce qui pose un défi majeur pour la sécurité nationale, notamment pour les personnes occupant des postes sensibles, bénéficiant de programmes de protection ou victimes de violences conjugales.

IDScan.net a confirmé l’accès non autorisé à ses données et propose des services gratuits de surveillance du crédit aux personnes potentiellement concernées. Le FBI a également confirmé enquêter sur le vol présumé de dizaines de millions de permis de conduire aux États-Unis et au Canada, vendus sur le web clandestin. Les Canadiens concernés sont invités à déposer des alertes à la fraude auprès d’Equifax et de TransUnion, deux agences de crédit, et à se méfier des appels ou courriels inattendus utilisant leurs informations personnelles. Les experts soulignent l’opacité des politiques de gestion des données et appellent à des audits obligatoires pour les prestataires de services de vérification d’identité.