Un service pirate permettait de consulter 153 millions de permis de conduire américains
L’ancien journaliste spécialisé dans la cybersécurité Bryan Krebs raconte comment il a découvert un service illégal donnant accès à la bagatelle de 153 millions de permis de conduire enregistrés aux États-Unis et au Canada. Ses recherches indiquent que les données semblent avoir été extraites depuis les systèmes d’un prestataire spécialisé dans la vérification d’identité.
Un outil en ligne nommé Nexus, accessible via un forum russe spécialisé dans la revente de données, a permis de consulter les données personnelles de 153 millions de permis de conduire américains, ainsi que 10 millions de cartes d’identité, 2 millions de documents de voyage et 600 000 cartes médicales. Ces informations étaient vendues illégalement, mais l’outil a été retiré du réseau après la révélation de son existence. La base de données semblait être mise à jour en continu, avec l’ajout de 400 000 nouveaux permis de conduire en 24 heures. Cette fuite illustre un problème mondial de sécurité des données, touchant aussi bien les États-Unis que le Canada. Le terme single point of failure (point unique de défaillance) désigne ici une faille majeure dans un système, permettant à une seule source de compromettre des millions de données. Cette situation rappelle que les fuites de données ne concernent pas uniquement la France, mais sont un enjeu global.
Les données piratées proviennent principalement de prestataires de services américains spécialisés dans la vérification d’identité, comme IDScan. Cette entreprise, présentée comme leader dans la lutte contre la fraude aux fausses pièces d’identité, revendique des clients tels que Hertz, des chaînes de dispensaires de cannabis, FedEx, des constructeurs automobiles et Shell. Les données ont été récupérées lors de transactions courantes comme la location de voiture, l’enregistrement dans un hôtel ou l’accès à un dispensaire. Par exemple, le permis de conduire d’un chercheur en cybersécurité a été retrouvé dans la base après avoir été fourni à l’enregistrement dans un hôtel de Las Vegas et à l’entrée d’un dispensaire à l’occasion de la Defcon, une conférence dédiée à la cybersécurité. IDScan n’a pas encore confirmé ni infirmé l’existence d’une fuite de données, mais le FBI s’est saisi de l’affaire.
Le FBI a rapidement réagi à la découverte de cette fuite. Bryan Krebs, l’ancien journaliste devenu expert en cybersécurité, a été invité à une conférence téléphonique avec des agents spécialisés dans la cybercriminalité. L’agence a probablement été alertée après que Krebs ait révélé que Nexus vendait également les informations relatives au permis de conduire du directeur adjoint du FBI. Bien que le permis de conduire du directeur du FBI, Kash Patel, n’ait pas été retrouvé dans la base, cette affaire a mis en lumière l’ampleur des risques liés à la sécurité des données personnelles. IDScan a commencé à alerter ses clients entreprises le 2 septembre 2026, mais il reste à vérifier si cette action a permis de limiter les conséquences de la fuite. Le FBI n’a pas encore communiqué officiellement sur les suites données à cette enquête.
Cette fuite de données soulève plusieurs questions majeures. D’abord, elle montre comment une faille dans un prestataire de services peut exposer des millions de données personnelles, malgré les mesures de sécurité en place. Ensuite, elle interroge sur la responsabilité des entreprises qui collectent et stockent ces informations, notamment IDScan, qui n’a pas encore confirmé ou infirmé la fuite. Enfin, elle rappelle l’importance de la vigilance des utilisateurs, qui doivent être conscients des risques liés à la diffusion de leurs données personnelles. Les autorités, comme le FBI, jouent un rôle clé dans la détection et la résolution de telles affaires, mais la rapidité d’intervention reste un défi. Cette situation met en lumière les failles systémiques dans la protection des données, un enjeu crucial à l’ère du numérique.
