Le FBI enquête sur une affirmation du dark web : 153 M de permis scannés fuités

Une place de marché du dark web vend ce qu'elle présente comme 153 millions de permis de conduire scannés. Elle prétend qu'ils ont été volés à IDScan.net, un service de vérification d'identité intégré directement dans les applications et sites web d'autres entreprises. Le bureau du FBI à La Nouvelle-Orléans a ouvert une enquête officielle le 1er septembre 2026. IDScan.net n'a pas confirmé qu'une fuite avait eu lieu.

Ce qu'est réellement IDScan.net

Ce n'est pas l'histoire d'une entreprise dont les systèmes internes auraient été piratés. C'est l'histoire d'une entreprise dont le produit est du code que d'autres entreprises font tourner.

ByteIota décrit l'offre d'IDScan.net comme "une API REST et un SDK que les entreprises intègrent dans leurs parcours d'intégration client", en somme une infrastructure pour développeurs plutôt qu'un outil interne. Le service vérifie plus de 10 700 types de documents dans plus de 250 langues et renvoie un résultat en moins de 15 secondes, selon le même rapport. Des entreprises de l'automobile, de l'hôtellerie, du commerce, de la finance, des jeux d'argent et de la logistique l'utilisent, selon BreachNews.

Votre produit a-t-il déjà demandé à un utilisateur de scanner une pièce d'identité pour prouver son âge ou son identité ? Il y a une vraie chance qu'un service conçu exactement comme celui-ci ait fait la vérification en coulisses.

Ce qui est réellement confirmé, et ce qui n'est qu'affirmé

L'ampleur de cette fuite n'est pas établie. BreachNews rapporte que le chiffre de 153 millions provient du propre calcul de la place de marché du dark web, environ 11,5 millions de pages de catalogue à raison d'environ 15 entrées chacune. Le média qualifie ce calcul de "plausible", pas de confirmé. Ni IDScan.net ni les autorités n'ont publié de chiffre officiel.

Ce qui est vérifié de façon indépendante est plus restreint, mais réel. BreachNews rapporte que le chercheur en sécurité Brian Krebs a vérifié les dossiers de plusieurs personnes réelles. Il a fait correspondre les horodatages de leurs scans de pièce d'identité fuités avec de véritables événements de leur vie, des locations de voiture et des séjours à l'hôtel survenus exactement quand les dossiers l'indiquent. C'est une preuve que les données fuitées sont authentiques et récentes, même sans décompte total confirmé.

La position d'IDScan.net elle-même, telle que rapportée par BreachNews, était que l'entreprise menait une enquête sans avoir publiquement confirmé d'accès non autorisé au moment de la publication.

Le détail qui devrait inquiéter quiconque intègre un service de ce type

ByteIota rapporte qu'IDScan.net conservait indéfiniment des scans haute résolution, y compris des captures infrarouges et ultraviolettes des documents. Les prestataires de paiement traitant des données de carte opèrent sous la norme PCI DSS, qui exige de se débarrasser des données brutes sensibles une fois qu'elles ne sont plus nécessaires. Rien n'oblige un fournisseur de vérification d'identité à faire de même.

Un scan haute résolution d'une pièce d'identité officielle, conservé indéfiniment, est bien pire à perdre qu'un numéro de carte tronqué. Un numéro de carte peut être réémis. Un visage, une date de naissance et un numéro de permis, non.

Ce que cela signifie pour les développeurs

Si votre produit intègre une API ou un SDK de vérification d'identité, découvrez dès aujourd'hui ce que ce fournisseur conserve et pendant combien de temps. "Vérification en moins de 15 secondes" ne dit rien de la durée pendant laquelle le scan sous-jacent reste ensuite sur un serveur. Demandez directement, par écrit, la politique de conservation elle-même, pas un simple lien vers une politique de confidentialité générale.

N'attendez pas qu'un fournisseur confirme une fuite avant d'agir. IDScan.net n'a rien confirmé, et l'enquête du FBI à elle seule est une raison suffisante d'agir. Passez en revue toute intégration que votre équipe possède avec ce fournisseur précis. Faites tourner toutes les clés API, vérifiez quelles données vous avez vous-même reçues et stockées de sa part, et envisagez de suspendre l'intégration le temps que la situation se clarifie.

Poussez pour des limites de conservation, comme PCI DSS les impose pour les données de paiement. Si vous choisissez entre des fournisseurs de vérification d'identité, demandez directement à chacun s'il supprime les scans de documents bruts une fois la vérification terminée. Traitez un "nous pouvons récupérer votre historique" comme un signal d'alerte, pas comme une fonctionnalité.

Séparez ce qui est confirmé de ce qui n'est qu'affirmé avant de répéter l'un ou l'autre en interne. Le chiffre de 153 millions est le propre calcul d'une annonce de place de marché, pas un chiffre audité. La fuite elle-même, d'après une vérification indépendante par horodatage, semble réelle. Ce sont deux niveaux de certitude différents, et les confondre revient soit à sous-estimer, soit à surestimer le risque réel pour vos propres utilisateurs.