Plus de 153 millions de permis de conduire ont été volés et mis en vente sur le dark web via le service Nexus. IDScan.net, prestataire de vérification d’identité pour Hertz, FedEx et GameStop, serait à l’origine de cette brèche massive. Les consommateurs font face à des risques majeurs de fraude identitaire et de pertes financières, tandis que le secteur de la vérification d’identité traverse une crise de confiance sans précédent.
Piratage majeur : 153 millions de permis de conduire dans la nature
By
Published on 4 septembre 2026 7h01
1551 DOLLARSAux États-Unis, un vol d'identité coûte en moyenne 1 551 dollars par victime
Plus de 153 millions de permis de conduire américains et canadiens se retrouvent sur le dark web. Un service nommé Nexus, inauguré le 31 août 2026 sur le forum Exploit, a vendu ces documents avant de disparaître après la révélation du journaliste Brian Krebs. Pour les millions de consommateurs touchés, les conséquences pourraient être lourdes : fraude bancaire, usurpation d'identité, et dégradation des dossiers de crédit. Ce piratage implique IDScan.net, une entreprise de vérification d'identité en Louisiane, qui gère 21 millions de vérifications mensuelles pour des entreprises telles que Hertz, FedEx ou GameStop.
L'ampleur économique d'une brèche sans précédent
La base de données Nexus comprenait 153 millions de permis de conduire, 10 millions de cartes d'identité et 3 millions de documents de voyage. Les responsables affirmaient avoir obtenu ces données sur plus d'un an d'une « grande entreprise de vérification d'identité ». Les documents accessibles contenaient des images standard ainsi que des versions en infrarouge et ultraviolet, utilisées pour détecter les faux. Cela montre la sophistication du vol et accroît les risques de contrefaçon.
Le chercheur Zach Edwards a vérifié l'authenticité des données après avoir retrouvé son permis avec un horodatage correspondant à une location de voiture. Cela prouve que les pirates ont capturé les documents en temps réel. Le service a enregistré une augmentation de 400 000 permis en 24 heures, indiquant une exfiltration continue.
IDScan.net fournit des services de vérification à des entreprises telles que Hertz, FedEx et GameStop. Chaque fois qu'un client utilise son permis pour un service, IDScan.net numérise le document, externalisant ainsi la vérification d'identité mais aussi la sécurité de millions de données sensibles.
Selon TechCrunch, les horodatages des documents volés correspondent aux moments où les victimes ont utilisé ces services. Brian Krebs note que si vous avez remis vos documents pour une vérification, ils pourraient avoir été volés lors de cette violation massive.
Risques financiers pour les consommateurs
Un permis volé ouvre la voie à de nombreuses fraudes. Les criminels peuvent ouvrir des comptes, souscrire des crédits ou effectuer des achats au nom de la victime. Aux États-Unis, un vol d'identité coûte en moyenne 1 551 dollars par victime, sans compter les heures passées à réparer les dommages.
Avec 153 millions de documents compromis, le préjudice économique potentiel dépasse les 237 milliards de dollars. Même si seulement 1 % des données volées étaient exploitées, le coût collectif atteindrait 2,37 milliards de dollars. Les victimes découvrent souvent la fraude bien après les faits, lorsque leur score de crédit chute ou qu'elles reçoivent des avis de recouvrement. Rétablir une identité compromise prend en moyenne six mois et nécessite des ressources juridiques coûteuses.
Les coûts sont répartis de manière complexe. Les banques couvrent souvent les pertes liées aux fraudes, mais répercutent ces coûts sur leurs clients via des frais plus élevés. Les assurances couvrent partiellement les dommages, mais les consommateurs non assurés assument tous les frais. Les entreprises clientes d'IDScan.net, comme Hertz ou FedEx, pourraient faire face à des actions collectives pour négligence. Cependant, les clauses de limitation de responsabilité compliquent souvent les recours. Le FBI enquête, mais les poursuites pénales ne garantissent pas d'indemnisation directe.
Implications sectorielles et réglementaires
Le piratage d'IDScan.net ébranle un secteur en pleine expansion. Les lois de vérification d'âge en ligne obligent les adultes à télécharger des documents pour certains services numériques. Les entreprises de vérification, comme IDScan.net, se multiplient pour répondre à cette demande, stockant des millions de scans sans toujours respecter les standards de sécurité les plus stricts. L'arrêt soudain de Nexus après sa révélation indique que les opérateurs ont pris peur, mais les données circulent toujours.
Le chercheur Larry Baldwin avertit que ces données sont dangereuses pour ceux qui cherchent à protéger leur identité ou localisation, notamment les victimes de violences domestiques et les témoins protégés. Outre le risque financier, la brèche expose des populations vulnérables à des menaces réelles. Les entreprises doivent prouver que leurs prestataires appliquent des protocoles de sécurité rigoureux ou risquent de perdre la confiance de leurs clients. Certaines entreprises pourraient rapatrier ces opérations, augmentant leurs coûts mais réduisant les risques de fuites.