Si vous avez déjà montré votre permis de conduire à un bar, un magasin de cannabis ou un comptoir de location de voitures, il y a de fortes chances que votre visage et vos informations personnelles flottent désormais sur le dark web. C'est ce que révèle un rapport du journaliste en sécurité Brian Krebs, qui a découvert ce qui semble être une violation massive chez une grande entreprise de vérification d'identité.

Krebs a découvert qu'un nouveau site du dark web appelé Nexus, lancé cette semaine, permet aux utilisateurs de rechercher plus de 150 millions de permis de conduire et passeports des États-Unis et du Canada. La publicité du site sur un forum de cybercriminalité russe se vante d'ajouter environ un demi-million de nouveaux documents par jour, provenant d'une « grande entreprise de vérification d'identité » - ce qui suggère que les pirates avaient un accès direct aux systèmes de l'entreprise. Parce que pourquoi voler des données une fois quand on peut continuer à les voler pour toujours ?

Krebs a confirmé que les données étaient réelles en trouvant son propre permis de conduire dans la base de données. Même le secrétaire à la Défense Pete Hegseth est apparu, sa photo étant répertoriée sur le site. Le département de la Défense a déclaré qu'il était « au courant de ces rapports et les évalue », ce qui en langage gouvernemental signifie « nous enquêtons, arrêtez de demander ».

En travaillant avec le chercheur en sécurité Zach Edwards - qui s'est également fait voler son identité - Krebs a identifié la source probable comme étant IDScan, une entreprise basée en Louisiane qui vérifie des dizaines de millions d'identités chaque mois pour de grandes marques technologiques et de consommation. Le PDG d'IDScan n'a pas répondu à la demande de commentaire de TechCrunch, mais la COO Jillain Kossman a déclaré à Krebs que l'entreprise enquêtait. Le bureau de terrain du FBI à La Nouvelle-Orléans est également sur l'affaire, bien qu'ils n'aient pas non plus répondu à nos questions. Nexus est devenu hors ligne peu après la publication du rapport de Krebs - rien ne dit « nous ne sommes certainement pas coupables » comme disparaître dans l'éther numérique.

Cette violation survient à un moment où les gouvernements poussent des lois sur la vérification de l'âge, qui exigent que les adultes téléchargent des pièces d'identité pour prouver qu'ils sont assez âgés pour accéder à des sites Web. Les défenseurs de la vie privée ont averti pendant des années que stocker d'énormes quantités de documents d'identité est un trésor pour les pirates. Et nous y voilà : la plus grande violation connue de documents d'identité de mémoire récente. C'est presque comme si les avertissements étaient justifiés.