Dans le cadre d’une importante violation de données qui ferait l’objet d’une enquête du FBI, il est apparu que mon permis de conduire avait été mis en vente sur un service d’usurpation d’identité appelé Nexus quelques heures après la location d’un véhicule. Selon KrebsOnSecurity, Nexus détenait plus de 153 millions de permis de conduire. Les fichiers répertoriés comprenaient des images du recto et du verso des pièces d’identité, ainsi que des images infrarouges et ultraviolettes ; il a été indiqué que ces données pourraient aider de fausses pièces d’identité à passer les contrôles des hologrammes.
Nexus affirmait également proposer des permis de conduire commerciaux, des cartes d’identité gouvernementales désignées comme CAC et des cartes de dispensaires de marijuana. Le fait que de nouveaux enregistrements apparaissent généralement un jour, voire quelques heures seulement, après que les personnes ont présenté leur pièce d’identité aux sociétés de location laisse penser que les données étaient transmises presque en temps réel depuis les services de numérisation tiers utilisés par les entreprises. En 24 heures, le nombre de permis de conduire répertoriés a augmenté d’environ 400 000.
Selon des informations accessibles au public, IDScan.net, dont le siège se trouve à La Nouvelle-Orléans, a conclu un accord exclusif avec Planet13 et compte également Hertz ainsi que 11 entreprises parmi ses clients. L’entreprise a annoncé avoir ouvert une enquête. Nexus est devenu inaccessible quelques heures après la publication de l’article de KrebsOnSecurity ; il est donc impossible pour les personnes concernées de vérifier si leurs pièces d’identité figuraient sur la liste.
Pourquoi est-ce important ?
L’incident montre que les services de numérisation tiers utilisés dans les processus de vérification d’identité ne se contentent pas de faciliter les opérations, mais constituent également une infrastructure dans laquelle une grande quantité de données sensibles est collectée. La présence des faces avant et arrière, ainsi que d’images infrarouges et ultraviolettes, soulève, pour les personnes concernées, non seulement le risque de divulgation d’informations personnelles, mais aussi celui de la contrefaçon de leurs pièces d’identité. La mise en ligne des données peu après les opérations de location oblige l’enquête à se concentrer sur l’étape du flux de données à laquelle l’incident s’est produit ainsi que sur les contrôles d’accès des fournisseurs de services. Le fait que Nexus soit devenu inaccessible empêche toutefois les personnes concernées de vérifier leurs dossiers, laissant ouverte la question de savoir quelles personnes et quelles organisations ont réellement été touchées.