Fuite de 153 millions de permis de conduire américains : un risque réel pour la sécurité des services secrets
En bref
- Un service dark web appelé Nexus offre l'accès à 153 millions de permis de conduire américains et canadiens et 3 millions de documents de voyage, probablement issus d'une fuite chez le prestataire de vérification d'identité IDScan.
- Le breach représente environ 63% de la totalité des permis en circulation aux États-Unis.
- Les documents volés sont particulièrement exploitables par les services de renseignement étrangers : liés à des adresses et photos, ils permettent de dé-anonymiser des agents clandestins, comme l'ont démontré des cas concrets en Russie et en Chine.
- Le secteur de la vérification d'identité ne cesse de subir des fuites massives (AU10TIX, 5CA, National Public Data), sans que la réglementation ou les pénalités n'en freinent réellement les défauts de sécurité.
Ce que dit la source
La source établit que le breach IDScan est d'abord un problème de cybercriminalité classique (usurpation d'identité, phishing), mais surtout une menace pour la sécurité nationale : des données d'identité complètes (photo, adresse, numéro) liées entre elles permettent aux agences de renseignement étrangères de désactiver des opérations de contre-espionnage. L'article cite des précédents concrets : en 2015, les services chinois ont agrégé des données volées à Anthem, Equifax, Marriott et l'OPM pour contrer les efforts de renseignement américains ; en 2022, Bellingcat a utilisé une base de données compromise pour identifier un agent GRU russo-biélorusse tentant d'infiltrer un commandement OTAN. L'auteur souligne que les agences de renseignement chinoises et russes reproduisent cette stratégie de manière systématique.
- Nexus prétend avoir accès en continu depuis plus d'un an au prestataire de vérification d'identité IDScan, avec une ingestion de 400 000 permis par jour en moyenne.
- Des licences de hauts fonctionnaires américains (y compris le secrétaire à la Défense Pete Hegseth et des directeurs du FBI) figurent dans la base.
- Le service Nexus a disparu du dark web après la publication de Krebs, mais les responsables affirment avoir conservé les données.
- Krebs on Security a pu vérifier l'authenticité des permis en consulter plusieurs appartenant à ses proches et amis.
- Le secteur de la vérification d'identité subit des fuites chroniques : AU10TIX, le prestataire de vérification d'âge de Discord (5CA), National Public Data ont tous subi des breaches en deux ans.
- La valeur de ces données pour l'espionnage vient du lien entre identité, domicile et photo : elles permettent de tracer des agents opérationnels, comme l'exemple de l'infiltration de l'OTAN identifiée par Bellingcat en 2022.
- Des actions en classe sont déjà en cours contre IDScan, mais l'auteur note l'absence probable d'intervention fédérale substantielle à court terme.
Dans les commentaires
Débat partage : frustration croissante face à l'absence de mécanisme correcteur, scepticisme sur la capacité réglementaire. Pas de consensus sur les solutions (responsabilité personnelle des dirigeants ? nouveau système de pièce d'identité basé sur cryptographie ? limitation de la collecte de données ?). Un commentateur note même que la fuite pourrait paradoxalement briser l'illusion de confidentialité et forcer une réforme structurelle, mais c'est une vision minoritaire.
- Plusieurs commentateurs contestent l'idée que cette fuite soit sans précédent ou changeante : les données des permis de conduire sont déjà largement disponibles via des canaux « légaux » (vente d'État à des courtiers, assurances automobiles qui revendent les données). Le Driver's Privacy Protection Act est décrit comme largement inefficace, criblé de dérogations.
- Un fil soulève que la Drivers Privacy Protection Act permet déjà aux agences d'investigation privée et aux annonceurs d'accéder en masse à ces données en cochant une case attestant un usage « autorisé ».
- Le commentaire sur la DentaQuest breach (2,6 à 15 millions de dossiers de mai 2026) illustre un fatigue : pour certains, le problème est structural et aucune sanction ne suffira tant que les pénalités financières resteront inférieures au coût d'une sécurité robuste.
- Un argument minoritaire mais notable : le vrai problème n'est pas la sécurité des prestataires, mais la responsabilité légale défaillante des institutions financières face à la fraude d'identité. Si les banques devaient assumer les coûts d'une usurpation, plutôt que la victime, la dynamique changerait.
- Quelques commentateurs expriment une déception face aux leçons non tirées de l'OPM breach de 2015, suggérant que aucun changement substantiel ne suivra non plus celle-ci.
Notre lecture
Le breach IDScan est réel et d'ampleur nationale ; l'argument de sécurité du renseignement n'est pas théorique. Mais le débat révèle une schizophrénie structurelle : les données volées ici circulent déjà légalement via des canaux réglementés depuis des années, sans limite effective. La fuite ne crée pas le risque, elle le rend visible. Les solutions évoquées (responsabilité personnelle des cadres, refonte cryptographique de l'identité, interdiction de la collecte massive) sont toutes hors portée politique court terme. Pour les DSI et CISO, cela confirme que la segmentation des données sensibles et le monitoring des prestataires tiers est une exigence non négociable, mais ne résout rien au problème systémique. À surveiller pour les agences fédérales impliquées et les entreprises critiques (les noms de hauts fonctionnaires étant exposés élève le risque de ciblage intelligent). Probablement du bruit politique à court terme.