IDScan confirme la fuite de 153 millions de permis de conduire

C'est la confirmation qu'on attendait depuis une semaine : IDScan, l'entreprise américaine spécialisée dans la vérification d'identité, reconnaît officiellement que des pirates ont accédé à des données de clients stockées sur son cloud. Son avis de sécurité était en ligne depuis le 4 septembre, mais configuré pour ne pas apparaître dans les moteurs de recherche. La presse spécialisée ne l'a repéré que ce 10 septembre.

L'ampleur fait tourner la tête. La base visée contiendrait plus de 153 millions de scans de permis de conduire américains et canadiens, proposés à la vente sur le dark web, la partie cachée d'Internet où circulent les données volées. Une échelle qui touche potentiellement une grande partie des adultes des deux pays.

Une base de 153 millions de documents d'identité

Le service illégal, baptisé Nexus, vantait l'accès à plus de 153 millions de permis de conduire, 10 millions de cartes d'identité, 3 millions de documents de voyage et environ 579 000 cartes médicales. Le journaliste Brian Krebs, qui a révélé l'affaire début septembre, a vérifié des échantillons en retrouvant son propre dossier et ceux de proches qui avaient accepté la vérification, puis a remonté la piste jusqu'à IDScan.

IDScan fournit aux commerces la technologie qui scanne et authentifie les pièces d'identité. Sa plateforme sert aux agences de location de voitures, aux détaillants, aux banques, aux hôtels, aux armureries et aux boutiques de cannabis autorisées dans certains États. Autrement dit : des millions de personnes ont passé leur document devant ce type de scanner sans jamais savoir où la copie atterrissait.

Ce qu'IDScan confirme, et ce qu'il ne dit pas

L'avis officiel indique qu'un tiers non autorisé « peut avoir accédé et/ou copié » des informations stockées dans les comptes clients sur le cloud d'IDScan : des noms complets et des numéros de permis de conduire ou d'autres pièces d'identité officielles. La page ne mentionne pas les images scannées des documents, que la presse dit avoir été dérobées aussi. L'enquête, menée avec des experts externes, se poursuit.

Détail révélateur : l'entreprise écrit que l'accès complet à la base « nécessitait un paiement », une formulation qui laisse penser que les pirates demandaient de l'argent. IDScan dit avoir sécurisé ses systèmes dès la découverte et coopérer avec les autorités fédérales. Le FBI a confirmé à BleepingComputer mener l'enquête. Les personnes concernées se voient proposer gratuitement une surveillance de crédit et une protection d'identité.

Des recours collectifs ont déjà été déposés contre l'entreprise, et la base circule toujours : plusieurs vendeurs du dark web prétendent la proposer à leur tour, sans qu'on puisse vérifier si ces offres sont réelles. La plateforme Nexus, elle, a été mise hors ligne après la révélation de l'affaire.

Pourquoi ça te concerne, même de l'autre côté de l'Atlantique

Fausses alertes Trezor : c'est le genre d'arnaque qu'alimente une base d'identités volées. Avec un nom, un numéro de permis et l'image du document, un escroc peut ouvrir des comptes, franchir des vérifications d'identité à ta place ou fabriquer des faux très crédibles. Les données de millions d'Américains et de Canadiens viennent de rejoindre la boîte à outils des fraudeurs.

La leçon dépasse les États-Unis. Chaque fois que tu scannes ton permis chez un loueur, à l'entrée d'un événement ou pour valider un compte en ligne, la donnée ne reste pas dans ta poche : elle rejoint des bases tierces que tu ne contrôles pas. La preuve avec cette fuite, chez un prestataire spécialisé que le grand public n'avait jamais entendu nommer.

Ta télévision qui t'écoute, on en parlait récemment : des objets du quotidien collectent nos données en silence. Une base d'identités rappelle l'autre face du même problème : nos documents aussi vivent chez des tiers, et leur sécurité n'est pas la nôtre.

Ce qui suit

L'enquête d'IDScan est toujours en cours, celle du FBI aussi. Les recours collectifs, eux, ne font que commencer. Ce qu'on peut déjà retenir : la vérification d'identité est devenue une routine invisible, et chaque scan ajoute une copie de ton document dans une base qui peut fuiter un jour. La prochaine fois qu'on te tend un lecteur de permis, tu sauras pourquoi ça mérite deux secondes de réflexion.

Sources

IDScan.net, l'avis de sécurité officiel publié le 4 septembre 2026, avec les données concernées et les mesures proposées.

KrebsOnSecurity, l'enquête du journaliste Brian Krebs qui a révélé la base Nexus et sa remontée jusqu'à IDScan.

BleepingComputer, la confirmation du jour : détail de la notification, enquête du FBI et recours collectifs déposés.

—

Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.