IDScan confirme une faille dans son cloud alors que des allégations font état de 153 millions de scans de permis de conduire volés

Le fournisseur de services de vérification d’identité IDScan a confirmé qu’un accès potentiellement non autorisé avait visé des informations clients stockées sur IDScan.net, sa plateforme cloud. Cette révélation intervient après l’apparition d’une vaste base de données de documents d’identité sur la place de marché du dark web Nexus.

La collection proposée aurait contenu plus de 153 millions de scans de permis de conduire américains et canadiens, ainsi que des millions d’autres documents d’identité. Toutefois, IDScan n’a pas établi que tous les enregistrements proposés sur Nexus provenaient de ses systèmes.

L’entreprise n’a pas non plus indiqué combien de clients ou de personnes étaient concernés. Son enquête se poursuit.

IDScan a découvert un accès potentiel à son cloud le 1er septembre

Le 1er septembre 2026, IDScan a appris qu’un tiers non autorisé avait peut-être accédé à des informations conservées dans les comptes clients sur IDScan.net, ou les avait copiées. Le même jour, le journaliste spécialisé en cybersécurité Brian Krebs a indiqué que Nexus vendait l’accès à plus de 153 millions de scans de permis de conduire.

IDScan a publié un avis de sécurité le 4 septembre 2026. L’entreprise a indiqué que les informations potentiellement exposées comprenaient :

• Les noms complets.
• Les numéros de permis de conduire.
• D’autres numéros de pièces d’identité délivrées par les autorités.

La notification ne fournissait pas un inventaire complet des données compromises. En particulier, elle ne confirmait pas explicitement que l’intrus avait obtenu des images de documents, même si les informations publiées au sujet de la place de marché Nexus établissent un lien entre l’incident et des scans de permis de conduire.

L’avis était également configuré avec une directive noindex, demandant aux moteurs de recherche de ne pas inclure la page dans leurs résultats. Cette configuration n’empêchait pas l’accès direct à l’avis, mais a pu le rendre plus difficile à trouver au moyen de recherches ordinaires.

Au 10 septembre 2026, la confirmation de la fuite par IDScan et la poursuite de l’enquête avaient fait l’objet de comptes rendus publics plus détaillés. Plusieurs plaintes auraient déjà été déposées contre l’entreprise, même si leur nombre exact n’a pas été communiqué.

La base de données de Nexus pourrait largement dépasser les seuls permis de conduire

La base de données proposée sur Nexus aurait été bien plus vaste que ne le laissait entendre le chiffre mis en avant. Les contenus revendiqués comprenaient :

• Plus de 153 millions de scans de permis de conduire américains et canadiens.
• Environ 10 millions de scans de cartes d’identité.
• Plus de 3 millions de documents de voyage ou de pièces d’identité internationales.
• Au moins 579 000 cartes médicales.

Krebs aurait recherché ses propres informations dans la collection, ainsi que les données d’autres personnes ayant consenti à ces recherches. Ces résultats ont contribué à établir le lien entre les données et IDScan.

Des informations publiées précédemment faisaient état de signes indiquant que Nexus détenait une vaste collection de documents d’identité, dont la composition pouvait évoluer rapidement. Plusieurs affirmations importantes restent néanmoins invérifiées.

IDScan n’a pas précisé combien des enregistrements proposés par Nexus provenaient de sa plateforme. L’entreprise n’a pas confirmé l’exactitude des volumes annoncés par la place de marché, ni l’authenticité de tous les documents proposés. Une collection de 153 millions de scans ne correspond pas nécessairement à 153 millions de personnes distinctes : une même personne peut disposer de plusieurs images, de permis renouvelés ou d’enregistrements en double.

Nexus aurait vendu l’accès à la base de données plutôt que de la proposer librement au téléchargement. La place de marché a ensuite été mise hors ligne après avoir attiré l’attention du public, mais cela ne rend pas caduques les copies déjà obtenues par des acheteurs ou des opérateurs de la place de marché.

D’autres acteurs ont par la suite affirmé posséder et vendre la base de données complète. Ces offres n’ont pas été authentifiées.

La méthode d’intrusion reste inconnue

Le produit concerné est IDScan.net, le service cloud de vérification d’identité d’IDScan. Les organisations utilisent cette plateforme pour scanner des documents officiels, évaluer leur authenticité et extraire des informations d’identité dans le cadre de processus métier ou de conformité.

Aucune version logicielle concernée n’a été communiquée. IDScan.net étant un service cloud, l’incident n’a pas été associé à une version installable par les clients et que les organisations pourraient corriger indépendamment.

Aucun CVE ni aucune vulnérabilité produit documentée publiquement n’a non plus été identifié. Les informations disponibles ne permettent pas d’établir si l’attaquant a :

• Compromis l’infrastructure centrale d’IDScan.
• Pris le contrôle d’un ou de plusieurs comptes clients.
• Utilisé des identifiants d’administration ou d’API volés.
• Exploité une erreur de configuration du cloud.
• Détourné une intégration légitime.
• Exploité une faille logicielle non divulguée.

Il ne s’agit donc pas d’un événement répertorié dans le catalogue CISA Known Exploited Vulnerabilities et assorti d’une échéance de remédiation publiée. Il s’agit d’une enquête sur une fuite de données dans le cloud, dont la cause technique n’a pas été communiquée.

L’identité de la partie non autorisée reste également inconnue. The Record a décrit Nexus comme étant lié à la Russie, mais cette caractérisation ne permet pas d’établir qui a initialement accédé à IDScan.net ni qui a fourni la base de données de la place de marché.

Le FBI enquête. Aucun acteur présumé, aucune technique d’intrusion, aucune famille de logiciels malveillants, aucune demande de rançon ni aucune activité destructive n’ont été identifiés publiquement.

L’exposition pourrait toucher les entreprises et les clients dont l’activité dépend de la vérification d’identité

La technologie d’IDScan est utilisée par des organisations qui doivent vérifier l’identité, l’âge, l’éligibilité ou le statut réglementaire d’une personne. Les secteurs concernés comprennent notamment les sociétés de location de voitures, les distributeurs, les établissements financiers, les entreprises du secteur du cannabis, les armureries et les acteurs de l’hôtellerie.

Les premières victimes potentielles sont les personnes dont les documents ont été traités et conservés. Des noms complets associés à de véritables numéros d’identification peuvent faciliter l’usurpation d’identité, les inscriptions frauduleuses, l’hameçonnage ciblé et les tentatives de contournement des contrôles know-your-customer.

La compromission d’images de documents créerait un risque supplémentaire si elle était confirmée. Un scan peut contenir des champs d’identité structurés et des éléments visuels exploitables dans des campagnes d’ingénierie sociale ou lors de tentatives de vérification frauduleuse. Les champs disponibles varient selon le document, et IDScan n’a pas publié le schéma complet des données compromises.

Les organisations qui utilisent la plateforme sont confrontées à un problème opérationnel distinct. Elles devront peut-être déterminer si les données transmises à IDScan ont également été copiées dans des bases de données internes, des systèmes d’assistance, des archives de conformité ou des intégrations tierces. Ces copies en aval pourraient élargir le périmètre de l’incident, même si l’accès initial au cloud a été neutralisé.

Les secteurs concernés s’appuient également fortement sur les contrôles d’identité pour des transactions aux conséquences importantes. Des créations de comptes frauduleuses, des locations de véhicules, des opérations financières, des achats réglementés ou des réservations hôtelières peuvent tous être tentés à l’aide de données personnelles authentiques.

L’ampleur de l’exposition reste incertaine. Les chiffres avancés par Nexus suggèrent une compromission potentiellement systémique, mais ils ne doivent pas être considérés comme le nombre confirmé d’enregistrements concernés chez IDScan.

IDScan informe les personnes concernées tandis que l’enquête se poursuit

IDScan a déclaré avoir pris des mesures pour sécuriser ses systèmes après la découverte de l’activité et avoir fait appel à des spécialistes externes afin d’en examiner la nature et l’ampleur. L’entreprise réévalue également ses politiques de sécurité et coopère avec les autorités fédérales chargées de l’application de la loi.

Les personnes potentiellement concernées sont informées et se voient proposer gratuitement des services de surveillance du crédit et de protection contre l’usurpation d’identité. IDScan n’a pas publié le nombre définitif de clients concernés ni la liste complète des types de données compromises.

Les clients ne doivent pas considérer l’absence de notification comme la preuve que leurs environnements ne sont pas concernés tant que l’enquête reste ouverte. Les organisations qui utilisent IDScan.net doivent identifier les unités opérationnelles, les applications et les intégrations d’API ayant transmis des documents d’identité au service.

Les mesures défensives devraient notamment comprendre :

1. Examiner l’activité des comptes IDScan.net. Rechercher les connexions inattendues, les modifications administratives, les requêtes groupées, les exports ou les activités de vérification de documents inhabituelles.
2. Valider les accès administratifs. Supprimer les comptes inactifs et vérifier que les privilèges actuels correspondent aux besoins opérationnels.
3. Renouveler les secrets concernés. Remplacer les mots de passe, clés d’API, jetons d’accès et identifiants d’intégration potentiellement exposés.
4. Appliquer une authentification multifacteur robuste. Donner la priorité aux comptes d’administrateurs et de gestion des services.
5. Examiner les systèmes connectés. Déterminer si des images de documents ou des champs extraits ont été répliqués dans des bases de données clients, des journaux, des sauvegardes ou des plateformes d’analyse.
6. Réduire la conservation des données d’identité. Vérifier si les scans de pièces d’identité officielles sont conservés plus longtemps que ne l’exigent les obligations légales ou les besoins opérationnels.
7. Préparer les équipes antifraude et les services d’assistance. Les attaquants pourraient utiliser des données personnelles exactes pour rendre crédibles des tentatives d’hameçonnage, d’usurpation d’identité ou de récupération de compte.

Les personnes concernées doivent se montrer particulièrement prudentes face aux messages faisant référence à des informations réelles figurant sur leur permis ou prétendant concerner le remplacement d’un document, la vérification d’un compte, une action en justice ou une protection du crédit. La possession de données d’identité exactes ne suffit pas à rendre un message légitime.

Les principales questions restent sans réponse : comment l’intrus a obtenu l’accès, combien de temps celui-ci a persisté et quelle part de la collection de Nexus provenait d’IDScan. Tant que ces conclusions ne seront pas publiées, les clients comme les particuliers devront se préparer à une exposition potentiellement plus vaste que celle confirmée à ce jour par l’entreprise.