Ce qui distingue cet incident de toutes les autres fuites de données qui traînent dans votre boîte mail, c’est le type d’informations impliqué. Les mots de passe peuvent être réinitialisés. Les numéros de carte de crédit peuvent être réédités. Une photo de permis de conduire, accompagnée de votre nom, de votre date de naissance, de votre adresse et de votre numéro de permis, ne peut pas être modifiée. Une fois qu’elle se retrouve sur une plateforme criminelle, elle demeure utile pour les fraudeurs pour le reste de votre vie. Et il y a, selon les décideurs derrière ce service, 152 999 999 d’autres personnes exactement dans la même situation.
Comment un service du Dark Web s’est retrouvé avec 153 millions de permis de conduire
L’histoire a été dévoilée par le journaliste d’investigation Brian Krebs sur le blog KrebsOnSecurity. Une source a averti Krebs, le 31 août, de l’apparition d’une nouvelle annonce sur le forum cybercriminel russe Exploit, dans laquelle un utilisateur prétendait vendre un accès consultable à des documents d’identité appartenant à plus de 170 millions de personnes à travers l’Amérique du Nord. Le service, baptisé Nexus, permettait aux acheteurs de consulter des dossiers individuels par nom et par d’autres identifiants. Krebs a été mis au courant lorsque le vendeur a utilisé le permis de Virginia de Krebs comme aperçu gratuit.
Krebs a remonté la source jusqu’à IDScan.net, une société de vérification d’identité basée à la Nouvelle-Orléans. IDScan traite plus de 21 millions de vérifications par mois dans plus de 20 000 sites à travers le monde, et sa liste de clients couvre les voitures de location, les hôtels, les détaillants, les sociétés de services financiers et les dispensaires de cannabis. Contactée, l’entreprise a reconnu une enquête interne et n’a ni confirmé ni nié une brèche. Le même jour, après que Krebs a partagé ses conclusions avec les autorités, le bureau du FBI à la Nouvelle-Orléans a ouvert une enquête officielle. Nexus a rapidement cessé d’être accessible après la publication de l’article, bien que les données sous-jacentes circulent sans doute toujours sur d’autres places de marché criminelles.
Pourquoi vous ne pouvez pas réinitialiser un permis de conduire comme un mot de passe
Le consommateur moyen a désormais reçu suffisamment d’avertissements sur les brèches pour avoir pris l’habitude d’un rituel: changer le mot de passe, geler le crédit, continuer sa vie. Ce rituel ne fonctionne pas ici. Un mot de passe est une suite arbitraire de caractères que l’on choisit et que l’on peut remplacer en trente secondes. Un permis de conduire est un document délivré par le gouvernement qui associe votre visage, votre adresse, votre date de naissance et votre identifiant unique dans un seul artefact. Vous ne pouvez pas modifier ces champs à la demande. Quand le permis expire, vous obtiendrez un nouveau numéro dans certains États, mais votre visage, votre nom et votre historique restent exactement les mêmes.
Cette permanence est ce qui rend l’annonce Nexus dangereuse au plus haut point. Chaque personne du jeu de données porte désormais une exposition à vie. Les systèmes de vérification d’identité utilisés par les banques, les administrations, les opérateurs téléphoniques et des centaines de plateformes grand public considèrent encore une photo de permis comme un signal de confiance fiable. Si votre photo de permis se retrouve dans une base de données criminelle consultable, elle peut être injectée dans chacun de ces flux de vérification, potentiellement pendant des décennies. Le chercheur en sécurité Seemant Sehgal, PDG de BreachLock, l’a formulé clairement en s’adressant à Infosecurity Magazine: aucun des champs de votre permis ne peut être changé, donc chaque personne de ce jeu de données conservera son exposition tout au long de sa vie.
Les six fichiers qui se cachent derrière chaque permis divulgué
Le jeu de données Nexus ne se limitait pas à de simples photos. Chaque entrée de permis comprenait six fichiers image distincts : des scans standard du recto et du verso, ainsi que des versions infrarouge et ultraviolet du même document. Ces images infrarouge et UV comptent, car elles révèlent les éléments de sécurité que les gouvernements intègrent dans les permis modernes précisément pour démontrer l’authenticité, ce qui signifie que les enregistrements divulgués se rapprochent de ce dont un fraudeur aurait besoin pour fabriquer des faux’identifiants convaincants ou pour contourner les vérifications qui recherchent les hologrammes et les filigranes.
Au-delà des permis de conduire, la plateforme aurait hébergé plus de 10 millions de cartes d’identité, 3 millions de documents de voyage et d’identités internationales, et environ 579 000 cartes médicales, y compris des cartes de dispensaires de cannabis. Certaines entrées étaient marquées de la notation « CAC », qui, si confirmée, ferait référence aux Common Access Cards, les identifiants émis par le gouvernement qui ouvrent l’accès à des bâtiments fédéraux et à des installations sécurisées. Selon Krebs, les permis d’au moins un haut responsable du gouvernement américain figuraient dans la base. Le vendeur de Nexus affirmait sur le forum Exploit qu’il avait exfiltré des données fraîches à la source depuis plus d’un an avant d’offrir publiquement le service consultable.
Que faire avant que les données ne circulent
La réalité crue est qu’il n’existe pas de solution parfaite pour un document d’identité qui a fuité. Mais les mesures pratiques que vous pouvez prendre réduisent considérablement le risque quotidien que cette fuite se traduise par une fraude réelle. Commencez par geler votre crédit auprès des trois agences américaines (Equifax, Experian et TransUnion), car un gel empêche véritablement l’ouverture de nouveaux comptes à votre nom, contrairement à la simple surveillance qui se contente d’alerter après coup. Si vous avez déjà remis une pièce d’identité scannée à une agence de location de voiture, à une chaîne hôtelière, à un détaillant ou à un dispensaire qui utilisait IDScan.net, considérez que votre nom et votre adresse sont désormais exposés au phishing: attendez-vous à des courriels ciblés de vol d’identité et de vérification de votre fiche dans les semaines à venir.
Au-delà de cela, une surveillance continue des places de marché criminelles est vraiment utile ici, et c’est là que le Dark Web Monitor de NordVPN prend toute sa pertinence pratique. Cette fonctionnalité, incluse dans les plans Advanced et Ultra, balaie en continu les bases de données divulguées et les forums de cybercrime pour vos informations personnelles, et vous avertit dès que votre adresse e-mail, vos identifiants ou vos informations apparaissent dans une nouvelle annonce. Pour une brèche comme celle-ci, où les données sous-jacentes sont susceptibles d’apparaître sur d’autres places de marché après la fermeture de Nexus, cette surveillance continue compte davantage qu’un seul contrôle de crédit.
Où NordVPN s’inscrit, et ce qu’il ne peut pas corriger
Soyons francs sur les limites. NordVPN n’aurait pas empêché IDScan.net d’être piraté. Votre permis était dans l’infrastructure cloud de ce fournisseur bien avant que vous n’en ayiez le contrôle, et aucun outil au niveau réseau n’aurait changé ce résultat. Ce que fait NordVPN, et ce qui le rend intéressant dans le sillage de ce type de fuite, c’est de réduire les dommages continus. Le Dark Web Monitor assure l’aspect surveillance, et la fonctionnalité Threat Protection Pro couvre la vague de phishing qui suit.
Threat Protection Pro bloque les domaines de phishing connus, les redirections malveillantes et les sites d’arnaque au niveau du réseau, ce qui est directement pertinent car les acheteurs criminels des données Nexus les utiliseront pour lancer des campagnes de phishing ciblées. De faux courriels « vérification IDScan.net », de fausses notifications « mise à jour d’enquête FBI » et de vraies pages « inscription à la protection contre le vol d’identité » vont très probablement apparaître au cours des prochaines semaines. Le système de traçage et le filtre anti-phishing de NordVPN en bloquent une part significative avant même qu’ils ne se chargent dans votre navigateur, ce qui constitue une couche réellement utile en plus du filtrage de votre propre messagerie. Combiné à la politique de non-conservation des logs vérifiée sur le service VPN principal de NordVPN, c’est l’une des raisons pour lesquelles le fournisseur figure régulièrement en tête des comparatifs VPN axés sur une architecture privilégiant la vie privée plutôt que sur des benchmarks de vitesse.
NordVPN Basic à 3,49 $ par mois
Le plan Basic de NordVPN est actuellement disponible à 3,49 $/mois, ce qui revient à 94,23 $ facturés en une seule fois pour 27 mois de service (24 mois + 3 mois gratuits). Cela représente une réduction de 69 % par rapport au tarif standard.Le renouvellement annuel reste à 139,08 $ par an, et peut être annulé à tout moment depuis le tableau de bord du compte.
Le plan Basic couvre le VPN essentiel sur jusqu’à 10 appareils, avec des applications pour Windows, macOS, Linux, iOS, Android, des extensions de navigateur et une installation sur routeur pour couvrir l’ensemble du foyer. Les deux fonctionnalités les plus pertinentes par rapport à ce type de conséquence, Dark Web Monitor et Threat Protection Pro, se situent dans les niveaux Advanced et Ultra plutôt que dans Basic. Si une surveillance continue de l’identité est la raison principale de votre inscription après la lecture de cet article, ce seront les niveaux supérieurs qui tiennent réellement leurs promesses.
Garantie de remboursement de 30 jours
NordVPN propose à chaque plan une garantie satisfait ou remboursé de 30 jours. Si le service ne correspond pas à votre façon d’utiliser vos appareils, vous pouvez demander un remboursement complet dans le premier mois. Les remboursements sont traités via le support en chat 24/7, et les fonds reviennent généralement sous 5 à 10 jours ouvrables selon le mode de paiement utilisé.
Cela vous offre un mois entier pour installer les applications sur votre configuration, tester les vitesses de votre connexion domestique, activer le filtre anti-phishing et le Dark Web Monitor face à la vague de messages frauduleux qui suivra l’affaire IDScan, et voir si le service tient ses promesses avant que l’intervalle de remboursement n’expire. Petite note sur l’abonnement: le tarif de 3,49 $/mois s’applique aux 27 premiers mois. Le renouvellement automatique passe ensuite au tarif annuel standard. Si vous préférez annuler ou renégocier avant le renouvellement, programmez un rappel dans votre calendrier 7 à 10 jours avant la date de renouvellement.
