IDScan : 153 millions de permis de conduire américains volés

153 millions de permis de conduire américains sur le dark web

C'est l'une des plus grandes violations de données d'identité de l'histoire des États-Unis. IDScan.net, société basée en Louisiane spécialisée dans la vérification de pièces d'identité pour les agences de location de véhicules, les commerces de détail et les dispensaires de cannabis, a confirmé début septembre 2026 qu'un acteur malveillant avait accédé sans autorisation à son infrastructure cloud. L'ampleur de la compromission est stupéfiante : plus de 153 millions de permis de conduire, 10 millions de cartes d'identité, 3 millions de documents de voyage et 579 000 cartes médicales — dont des ordonnances de dispensaires de marijuana — auraient été exfiltrés et mis en vente sur le dark web.

La chronologie de l'incident commence le 1er septembre 2026, date à laquelle IDScan.net dit avoir reçu une information indiquant que « certaines données pourraient avoir été consultées sans autorisation ». La société publie une notification officielle sur son site web le 4 septembre, tout en commençant à contacter les personnes potentiellement affectées « par abondance de précaution ». IDScan.net propose à ces personnes une surveillance gratuite du crédit ainsi qu'un service de protection contre l'usurpation d'identité pendant douze mois.

La divulgation publique intervient quelques jours à peine après que le journaliste d'investigation Brian Krebs, de Krebs on Security, signale l'apparition d'une nouvelle plateforme dark web baptisée « Nexus ». Cette place de marché illégale proposait à la vente les 153 millions de scans de permis de conduire, accompagnés de données personnelles structurées : noms complets, adresses, numéros de licence, dates de naissance, voire informations médicales dans le cas des cartes de dispensaires. Peu après la publication de l'article de Krebs, la plateforme Nexus a été mise hors ligne — signe probable d'une pression des forces de l'ordre ou d'une crainte d'identification des opérateurs.

Le FBI, via son bureau de La Nouvelle-Orléans, a formellement ouvert une enquête sur l'incident. L'agence fédérale s'intéresse à la fois aux vecteurs d'intrusion utilisés et à la chaîne de distribution des données volées sur les marchés clandestins. Plusieurs agences de cybersécurité étatiques ont également été alertées en raison du volume de permis de conduire concernés, qui représente potentiellement plus de 40 % de la population adulte américaine.

IDScan.net occupe une position particulièrement sensible dans la chaîne d'identité numérique américaine. L'entreprise équipe des centaines d'établissements — bars, casinos, agences de location, pharmacies délivrant du cannabis médical — d'un système de lecture optique et de vérification en temps réel des pièces d'identité. Chaque scan génère un enregistrement numérique contenant non seulement les données du titre d'identité, mais aussi, selon le contexte, des informations sur la transaction effectuée. Ce modèle de centralisation des données d'identité chez un tiers de confiance représente un risque systémique majeur, et l'incident illustre une fois de plus les dangers inhérents à la concentration de données biométriques et identitaires chez des acteurs intermédiaires.

Les données exposées sont particulièrement critiques pour plusieurs raisons. Les permis de conduire américains servent de document d'identité principal pour une vaste gamme de transactions : ouverture de comptes bancaires, souscription de crédits, vols domestiques, accès à des services gouvernementaux. Avec des noms, adresses et numéros de licence en leur possession, des acteurs malveillants peuvent construire des profils d'usurpation d'identité très convaincants, capables de passer les vérifications KYC (Know Your Customer) de nombreux établissements financiers. Le fait que des cartes médicales — notamment des autorisations pour dispensaires de cannabis — soient également incluses ajoute une dimension médicale à l'exposition, potentiellement protégée par des législations spécifiques comme HIPAA.

Au moment de la publication de cet article, IDScan.net n'a pas précisé le vecteur initial d'intrusion, ni si des données de clients professionnels ont également été compromises. La société indique que l'enquête est en cours avec l'appui de spécialistes en cybersécurité mandatés à cet effet. Plusieurs cabinets d'avocats spécialisés dans les actions collectives ont d'ores et déjà ouvert des investigations préliminaires en vue d'éventuelles poursuites judiciaires au titre du California Consumer Privacy Act et du SHIELD Act new-yorkais.

Du côté des professionnels utilisant IDScan.net, la situation est particulièrement inconfortable : les dispensaires de cannabis, très réglementés et tenus de vérifier l'identité de leurs clients, pourraient faire face à des obligations de notification propres aux lois étatiques. La Californie, le Colorado et le Washington disposent de régimes de notification avec des délais allant de 72 heures à 30 jours selon la nature des données exposées.

La vérification d'identité, nouveau maillon faible de la sécurité numérique

L'incident IDScan.net s'inscrit dans une tendance inquiétante : les prestataires de vérification d'identité sont devenus des cibles de choix pour les cybercriminels. En concentrant les données de millions d'individus pour des raisons légitimes de vérification, ces sociétés constituent des coffres-forts d'identité que les attaquants cherchent à percer. En 2024, la brèche chez National Public Data avait exposé les numéros de sécurité sociale de près de 2,9 milliards d'Américains. Ces incidents révèlent un paradoxe fondamental : les systèmes conçus pour prévenir la fraude d'identité génèrent eux-mêmes d'immenses stocks de données sensibles qui, une fois volés, alimentent précisément la fraude qu'ils devaient combattre.

Sur le plan réglementaire, cet incident met en lumière les lacunes du droit américain en matière de protection des données d'identité. Contrairement à l'Europe où le RGPD impose des obligations claires sur la minimisation des données et la durée de conservation, les États-Unis ne disposent pas de loi fédérale unique sur la vie privée. Les exigences de notification varient d'un État à l'autre, créant un paysage fragmenté qui complique la réponse coordonnée aux violations de grande ampleur.

Pour les entreprises françaises et européennes faisant appel à des prestataires de vérification d'identité, l'incident IDScan pose la question de la diligence raisonnable envers les sous-traitants. Le RGPD impose aux responsables de traitement de s'assurer que leurs sous-traitants présentent des garanties suffisantes. Une violation chez un prestataire de vérification KYC peut engager la responsabilité de l'entreprise cliente vis-à-vis des personnes concernées. Le DPO doit donc inclure ces prestataires dans sa cartographie des risques tiers et exiger des audits contractuels réguliers.

La rapide fermeture de la plateforme Nexus après l'article de Krebs on Security est un signal intéressant : la publicité médiatique reste un outil efficace de pression sur les opérateurs de places de marché illégales. Cependant, les données ont très probablement été dupliquées et distribuées avant la fermeture. La nature persistante des données d'identité — un permis de conduire ne peut pas être annulé aussi facilement qu'un mot de passe — signifie que les victimes potentielles devront vivre avec ce risque résiduel pendant de nombreuses années.

Ce qu'il faut retenir

• 153 millions de permis de conduire américains ont été volés à IDScan.net et mis en vente sur le dark web Nexus ; c'est l'un des plus grands incidents d'identité de l'histoire.
• Le FBI enquête ; IDScan propose une surveillance gratuite du crédit, mais le risque d'usurpation persistera des années en raison de la nature non révocable des documents d'identité.
• Les entreprises utilisant des prestataires KYC doivent auditer leurs contrats, vérifier les clauses RGPD/DPA et inclure ces acteurs dans leurs exercices de gestion des risques tiers.