Nexus : 153 millions de permis de conduire sur le dark web, faisant craindre un flux de scans en quasi temps réel

Un permis de conduire obtenu par un employé d’une société de location de voitures serait apparu sur le dark web quelques heures seulement après avoir été scanné. Le document était proposé à la vente sur Nexus, un nouveau service clandestin qui annonçait plus de 153 millions de permis, souvent accompagnés d’images haute définition ainsi que de scans dans les spectres infrarouge et ultraviolet.

L’enquête de KrebsOnSecurity, publiée mardi et repérée le 2 septembre 2026, décrit une base de données en expansion rapide. En l’espace de 24 heures, le nombre de permis disponibles aurait augmenté de près de 400 000.

Ces délais font craindre un vol toujours actif depuis une plateforme utilisée pour vérifier les documents dans les agences de location de voitures, les dispensaires et d’autres commerces. Le FBI enquête, tandis qu’IDScan.net, l’entreprise publiquement associée au flux de données, a lancé des vérifications internes.

Une base conçue pour la contrefaçon, pas seulement pour l’usurpation d’identité

Nexus ne proposait pas de simples listes contenant des noms, des adresses et des numéros de permis. Pour chaque document, plusieurs fichiers semblaient disponibles, notamment des images haute résolution du recto et du verso.

Les éléments observés comprenaient également des scans dans les bandes infrarouge et ultraviolette. Ce détail augmente considérablement la gravité de l’exposition : ces acquisitions peuvent révéler des éléments de sécurité invisibles sur une photographie ordinaire, notamment des composants utilisés pour vérifier les hologrammes et l’authenticité du support.

Un cybercriminel pourrait ainsi combiner les informations d’état civil avec des images complètes et des données provenant de précédentes fuites. Les adresses actuelles et passées, le numéro de sécurité sociale américain et les profils démographiques peuvent rendre plus crédibles les demandes frauduleuses, les ouvertures de comptes ou les tentatives d’usurpation d’identité.

Le risque ne se limite pas aux fraudes en ligne. La disponibilité de scans multispectraux pourrait faciliter la fabrication de faux documents conçus pour contourner les contrôles visuels ou automatisés.

Parmi les identités retrouvées dans la base figuraient celles du journaliste Brian Krebs, de sa mère, d’un directeur adjoint du FBI et de plusieurs chercheurs en sécurité. On ignore combien de personnes distinctes correspondaient aux 153 millions d’enregistrements, car un même document pouvait être représenté par plusieurs fichiers.

Les nouveaux scans apparaissaient sur Nexus en quelques heures

L’aspect le plus préoccupant concerne la rapidité de publication. Dans plusieurs cas, les documents devenaient disponibles dans la journée suivant leur présentation à un commerce ; parfois, quelques heures suffisaient.

Cette dynamique est difficilement compatible avec la seule circulation d’une ancienne base volée puis revendue. Elle suggère plutôt un accès continu, ou à tout le moins très récent, aux données collectées par un service central de numérisation.

La société de location de voitures impliquée dans le principal cas étudié n’a pas été identifiée. Il est donc impossible de déterminer quelle agence a acquis le permis, quel système local était utilisé ou si le document est passé par une infrastructure partagée avec d’autres entreprises.

Le vecteur de compromission reste également inconnu. Il pourrait s’agir d’un compte, d’une interface applicative, d’un stockage cloud, d’un système interne ou d’une intégration avec des tiers. À ce stade, toutefois, aucun élément technique ne permet d’attribuer la fuite à un composant précis.

Aucun indicateur public de compromission n’a non plus été communiqué, comme des adresses IP, des domaines, des hachages ou des noms de comptes à rechercher dans les journaux de l’entreprise. Aucune version vulnérable d’un logiciel n’a été signalée et aucun identifiant CVE ne semble associé à l’affaire.

Le lien avec IDScan.net et les relations avec Hertz et Planet13

Les informations disponibles ont relié le possible flux de scans à IDScan.net, une société de La Nouvelle-Orléans spécialisée dans l’acquisition et la vérification de documents. L’entreprise affirme que sa technologie est capable de produire des images dans les spectres infrarouge et ultraviolet, les mêmes types d’images que celles observées sur Nexus.

IDScan.net a également annoncé un accord exclusif avec Planet13, une chaîne de dispensaires présente dans plusieurs États, et a cité Hertz ainsi que 11 autres entreprises parmi ses clients ou utilisateurs.

L’un des cas examinés concernait une personne qui avait visité un établissement Planet13 à Las Vegas. L’intervalle entre la présentation du document et sa disponibilité sur Nexus a été jugé compatible avec un lien entre le système de numérisation et le marché clandestin.

Il ne s’agit toutefois que d’indices, et non d’une reconstruction technique concluante. On ignore si IDScan.net a confirmé un accès non autorisé à ses systèmes ou quelle infrastructure aurait stocké ou transféré les images.

Un porte-parole de l’entreprise a déclaré que des vérifications internes étaient en cours. Les représentants de la société de location concernée n’avaient pas répondu immédiatement aux sollicitations.

Pas seulement des permis : des cartes CAC et des titres de séjour également proposés

Nexus faisait la promotion d’un catalogue plus large de documents personnels. Outre les permis de conduire américains et internationaux, la liste comprenait des cartes d’identité, des cartes de voyage, des cartes d’assurance maladie, des titres de séjour et des autorisations de travail.

Le service affirmait également détenir des scans de cartes délivrées par des dispensaires de cannabis. Les données comportaient des mentions telles que « CDL », probablement en référence aux permis de conduire pour véhicules commerciaux, et « CAC », vraisemblablement pour Common Access Card.

Les CAC sont des identifiants gouvernementaux également utilisés pour autoriser l’accès physique à des bâtiments publics et à des environnements protégés. Leur éventuelle présence dans la base élargit donc l’impact potentiel au-delà de la fraude financière, en touchant les procédures de sécurité et de contrôle des accès.

On ignore si les images des CAC étaient accompagnées de données suffisantes pour permettre une utilisation opérationnelle ou si des tentatives d’usurpation ont été signalées. Leur simple exposition nécessite néanmoins des vérifications de la part des organisations responsables de ces cartes.

Nexus est hors ligne, mais le sort des données reste incertain

Nexus est devenu inaccessible quelques heures après la publication de l’enquête. Il n’a pas été précisé si le service avait été saisi, fermé volontairement par ses administrateurs, déplacé ou rendu indisponible pour une autre raison.

La disparition du portail ne signifie pas que la base a été supprimée. Les opérateurs peuvent avoir conservé des copies, distribué les fichiers à d’autres cybercriminels ou préparé une réouverture sous un autre nom.

La disparition du service crée également un problème pour les victimes : il n’existe actuellement aucune procédure publique permettant de vérifier si un permis donné a été inclus. Aucune notification générale, mesure de révocation ni programme coordonné de remplacement des documents exposés n’a été annoncé.

Le FBI mène une enquête. Le nombre confirmé de victimes, l’étendue géographique de la collecte et la date de début du vol restent inconnus.

Ce que peuvent faire les clients et les entreprises concernées

Les personnes qui ont présenté leur permis dans une agence de location de voitures, un dispensaire ou un autre commerce équipé d’un scanner ne peuvent pas en conclure automatiquement qu’elles ont été touchées. Toutefois, la rapidité observée justifie certaines mesures de précaution.

Les personnes potentiellement concernées peuvent :

• conserver les reçus et les communications permettant de déterminer où et quand le document a été scanné ;
• surveiller leurs rapports de crédit, les nouveaux comptes, les demandes de financement et toute modification inhabituelle de leurs données personnelles ;
• envisager un gel préventif du dossier de crédit ou les outils antifraude disponibles dans leur juridiction ;
• contacter l’autorité ayant délivré le permis afin de connaître les procédures applicables en cas d’exposition présumée ;
• signaler rapidement toute tentative d’usurpation d’identité ou utilisation non autorisée ;
• informer le service de sécurité compétent si le document concerné est une CAC ou une autre accréditation gouvernementale.

Pour les entreprises, la priorité est de vérifier les journaux des intégrations avec les services de numérisation, les accès administrateur, les exportations massives et les appels API inhabituels. Elles doivent également contrôler quelles images sont conservées, pendant combien de temps et avec quelles autorisations.

Le remplacement du permis peut réduire certains risques, mais il ne supprime ni les copies déjà volées ni les données personnelles associées. Tant que l’origine, la durée et le périmètre de l’accès ne seront pas établis, l’affaire Nexus restera une possible compromission toujours en cours, et non une simple base criminelle désormais circonscrite.