IDScan : 153 millions de permis de conduire volés confirmés

Le plus grand vol de documents d'identité de l'histoire américaine confirmé

IDScan.net, société basée en Louisiane spécialisée dans la vérification électronique de documents d'identité, a officiellement confirmé le 10 septembre 2026 avoir subi une violation massive de ses systèmes cloud. L'ampleur de l'incident est sans précédent : 153 millions de scans de permis de conduire, 10 millions de cartes d'identité nationales, 3 millions de documents de voyage internationaux et 579 000 cartes médicales ont été exfiltrés par des acteurs malveillants au cours d'une intrusion qui aurait duré près d'un an.

C'est le journaliste spécialisé Brian Krebs qui a mis au jour l'affaire le 1er septembre 2026, en découvrant un service clandestin sur un forum russophone de cybercriminalité. Cette plateforme illégale, baptisée "Nexus", proposait un accès indexé et interrogeable à l'intégralité des documents volés, permettant à ses clients de rechercher une personne par son nom, son numéro de permis ou son État de résidence. Le modèle commercial du service prévoyait des abonnements mensuels ainsi que des achats à l'unité pour des profils complets.

La société IDScan.net a indiqué avoir reçu une première alerte sur l'accès non autorisé à ses données "aux alentours du 1er septembre 2026". L'analyse forensique a révélé que les intrusions avaient probablement commencé bien avant cette date : des indicateurs suggèrent une présence de l'attaquant dans le système depuis au moins le début de l'année 2025, faisant de cet incident une compromission longue durée typique des acteurs APT à motivation financière.

Les informations exposées vont bien au-delà du simple numéro de permis. Chaque enregistrement comprend le nom complet du titulaire, sa date de naissance, son adresse domiciliaire, le numéro du document, ainsi que dans de nombreux cas des données biométriques partielles issues des scans optiques. Pour les passeports et documents de voyage, les données de la zone de lecture optique (MRZ) seraient également incluses, ce qui ouvre la voie à des usurpations d'identité sophistiquées aux postes frontières.

Le profil client d'IDScan.net éclaire l'impact sectoriel de cette fuite : la société équipe principalement des établissements de nuit (bars, boîtes de nuit), des casinos, des dispensaires de cannabis dans les États où la vente est légale, des stades, des salles de concert et des commerces soumis à des obligations légales de vérification de l'âge. Aux États-Unis, des dizaines de milliers de points de vente utilisaient le terminal ou l'API de la société. Des clients européens et canadiens sont également signalés, ce qui étend géographiquement l'impact de la violation.

Le bureau régional du FBI à La Nouvelle-Orléans a ouvert une enquête formelle. Entre le 2 et le 4 septembre, neuf recours collectifs ont été déposés devant les tribunaux fédéraux américains, reprochant à IDScan.net des manquements dans la sécurisation des données personnelles les plus sensibles qui soient. Les plaignants invoquent notamment la violation du California Consumer Privacy Act (CCPA), du Biometric Information Privacy Act (BIPA) de l'Illinois ainsi que de plusieurs lois étatiques sur la protection des données biométriques.

Du côté technique, les premiers éléments de l'analyse forensique publiés par des chercheurs indépendants indiquent une compromission du pipeline de traitement cloud, vraisemblablement via un accès non autorisé à des credentials d'administration. L'absence de segmentation entre l'environnement de traitement des documents et le stockage long terme est pointée comme facteur aggravant. IDScan conservait l'intégralité des scans pour permettre la revérification ultérieure — une pratique qui amplifie considérablement le périmètre d'exposition en cas d'incident.

À l'heure où cet article est publié, les données continuent de circuler sur les forums clandestins. La plateforme "Nexus" opère toujours selon plusieurs chercheurs en sécurité qui la surveillent, et les prix pratiqués ont déjà chuté significativement, signe d'une diffusion croissante du jeu de données dans les cercles criminels.

Pourquoi cette fuite redéfinit le risque identitaire aux États-Unis

Avec 153 millions de permis de conduire exposés, c'est potentiellement près de la moitié de la population adulte américaine qui se retrouve vulnérable. Pour contextualiser l'ampleur : la brèche Equifax de 2017, qui avait exposé 147 millions de dossiers de crédit, était jusqu'ici considérée comme la référence ultime en matière d'impact sur la population américaine. L'incident IDScan la dépasse en volume tout en étant qualitativement différent : il ne s'agit pas de données financières abstraites, mais de scans physiques de pièces d'identité, exploitables directement pour de la fraude documentaire.

La criticité est d'autant plus forte que les permis de conduire américains sont utilisés comme document universel de vérification d'identité dans des dizaines de contextes : ouverture de comptes bancaires, souscription de services téléphoniques, location de voitures, accès à des services gouvernementaux, transactions immobilières. Contrairement à un numéro de carte bancaire qui peut être annulé, un numéro de permis de conduire est quasi permanent et nécessite une démarche administrative complexe pour être modifié.

L'incident soulève également des questions fondamentales sur le modèle de délégation de la vérification d'identité à des tiers privés. IDScan.net, comme ses concurrents directs, opère dans un secteur peu régulé par rapport à la sensibilité des données traitées. Aucune obligation de chiffrement bout-en-bout des scans stockés, aucune durée de conservation maximale réglementée, aucun audit de sécurité obligatoire périodique n'était imposé par la loi fédérale américaine à ce type d'opérateur. En Europe, le RGPD imposerait des standards nettement plus contraignants et une notification obligatoire sous 72 heures aux autorités de contrôle.

Pour les entreprises françaises et européennes utilisant des solutions de vérification d'identité externalisées — notamment dans le secteur fintech, assurance, ou jeux en ligne — cette affaire constitue un signal d'alarme puissant. La due diligence sur les prestataires de vérification d'identité doit inclure des audits de sécurité cloud, des clauses contractuelles sur la durée de conservation des scans, et la vérification de certifications ISO 27001 et SOC 2 Type II.

Ce qu'il faut retenir

• 153 millions de permis de conduire américains sont en vente sur le dark web via la plateforme "Nexus" après la compromission d'IDScan.net.
• Les données incluent scans physiques, numéros de documents, adresses et dans certains cas données biométriques — inutilisables pour une simple révocation comme un mot de passe.
• Les entreprises externalisent leur vérification d'identité à des tiers privés peu régulés : audit de vos prestataires d'identité numérique en urgence.