153 millions de scans de permis de conduire en vente : l'affaire Nexus et le problème des données KYC
Début septembre 2026, un service du darknet baptisé Nexus proposait un accès avec moteur de recherche à des scans de plus de 153 millions de permis de conduire américains et canadiens, ainsi que de millions d'autres documents d'identité. En quelques jours, le bureau du FBI de La Nouvelle-Orléans a ouvert une enquête officielle sur l'origine de ces images, révélée en premier par KrebsOnSecurity. L'angle FBI a fait les gros titres, mais l'histoire de fond concerne l'infrastructure : les systèmes de vérification d'identité qui soutiennent les contrôles KYC sont devenus l'une des cibles les plus durables du commerce de données sur le darknet.
Ce que vendait Nexus
Les chiffres annoncés étaient inhabituels même pour les standards du darknet : plus de 153 millions de permis de conduire américains et canadiens, plus de 10 millions de cartes d'identité, plus de 3 millions de documents de voyage ou pièces d'identité internationales et au moins 579 000 cartes médicales. Une recherche vierge renvoyait environ 11,5 millions de pages de résultats, et le nombre de permis a grossi de près de 400 000 en 24 heures pendant que l'histoire était enquêtée. Le service était promu sur le forum de cybercriminalité russophone Exploit, avec le propre permis du journaliste à l'origine de la révélation proposé en échantillon gratuit. Chaque fiche pouvait contenir six fichiers image : le recto et le verso du permis en lumière normale, plus des versions infrarouge et ultraviolet des deux, précisément les formats que recherchent les contrôles automatiques de documents. Des cartes de dispensaires de cannabis côtoyaient les permis dans l'inventaire, certaines avec des mentions de source comme CDL ou CAC. Les horodatages racontaient leur propre histoire : ceux qui ont retrouvé leur permis dans Nexus ont pu le faire correspondre à des jours précis, une location de voiture chez Hertz ou une visite dans un dispensaire de Las Vegas, des moments où ils avaient remis leur pièce à un préposé.La connexion idscan.net
La piste menait à idscan.net, une société de vérification d'identité basée en Louisiane dont le site énumère parmi ses clients des marques comme Hertz, Target, FedEx, Motorola Solutions, Jack Henry et Caesars Entertainment. L'entreprise affirme traiter plus de 21 millions de vérifications par mois dans plus de 20 000 établissements, dont plus de 1 000 dispensaires de cannabis dans 19 États américains. KrebsOnSecurity a conclu que les données provenaient probablement de la plateforme. Le 8 septembre, idscan.net a publié un avis indiquant qu'un tiers non autorisé aurait pu accéder à des informations clients et les copier, notamment des noms complets et des numéros de permis de conduire ou d'autres documents d'identité officiels, et qu'elle notifiait les personnes concernées et offrait une protection de crédit. Caesars a indiqué ne plus être cliente depuis février 2025 ; l'affaire a reçu une couverture internationale, notamment du média allemand Tarnkappe. Le bureau du FBI de La Nouvelle-Orléans a ouvert une enquête officielle, et SecurityWeek rapporte que certains des permis appartenaient apparemment à des employés du FBI. Le Retail and Hospitality ISAC a confirmé que le service a disparu peu après les premiers rapports, sa page de connexion remplacée par un message laconique : « Ce service n'est plus disponible. » Ce que la couverture ne dit pas, c'est ce que sont devenues les copies déjà vendues. Un jeu de données de cette taille ne cesse pas d'exister simplement parce qu'une boutique disparaît.Pourquoi les scans de permis sont la marchandise la plus durable de ce commerce
Les mots de passe volés se changent ; les cartes volées se font réémettre. Un permis de conduire est différent : il lie un ensemble de données pour l'essentiel figées — nom complet, date de naissance, adresse, numéro de permis — à une photographie, et rien de tout cela ne peut être modifié en masse après une fuite. Un numéro de permis accompagne une personne pendant des décennies. C'est ce qui rend si précieux les scans recto-verso capturés en lumière visible, infrarouge et ultraviolet : ils satisfont à la fois le volet humain et le volet machine de la vérification d'identité. Un seul scan de qualité ouvre plusieurs lignes d'attaque :- Synthèse d'identité. Les données du permis se combinent aisément avec d'autres fuites pour ouvrir des comptes bancaires ou de crédit, comme l'a noté le chercheur de Cybera Larry Baldwin après avoir retrouvé son propre scan sur Nexus.
- Contourner la vérification documentaire. Les copies infrarouge et ultraviolet sont précisément ce que vérifient les systèmes KYC automatisés ; un scan complet peut donc appuyer des piratages de comptes et des inscriptions frauduleuses qu'une photo recadrée ne permet pas.
- Exposition physique. Les fiches contiennent des photographies et alimentent donc des outils de reconnaissance d'images. Baldwin avertissait que le jeu de données pouvait mettre en danger des personnes qui ne peuvent pas se permettre d'être retrouvées, des victimes de violences domestiques aux témoins relocalisés.
- Ingénierie sociale. Une véritable pièce d'identité officielle entre les mains d'un attaquant rend les tentatives d'usurpation bien plus convaincantes.
Les organisations devraient concevoir leurs systèmes d'identité en partant du principe que les preuves d'identité finiront par être compromises. Un document d'apparence authentique ne peut pas rester indéfiniment une preuve d'identité suffisante.Le chercheur en sécurité Zach Edwards, dont le propre permis est apparu sur Nexus, a tiré une conclusion plus large : tout dispositif obligeant les gens à remettre leur permis à un tiers alimente ces réservoirs centralisés, et la supervision des entreprises qui détiennent ces données n'a pas suivi le volume qu'elles stockent désormais.
Réduction des risques si votre scan circule quelque part
IDScan.net indique notifier les personnes concernées et offrir une protection de crédit. Mais quiconque a remis un permis à un comptoir de location de voitures, dans un dispensaire ou à la réception d'un hôtel en Amérique du Nord a des raisons de supposer qu'un scan existe quelque part. Rien de ce qui suit n'annule une fuite ; tout cela limite ce qu'un acheteur peut en faire.- Effectuez un gel du crédit auprès des grands bureaux. Un permis volé rapporte bien moins si aucune ligne de crédit ne peut être ouverte en votre nom.
- Attendez-vous à du phishing ciblé. Les escrocs qui citent votre vrai nom, votre adresse et votre numéro de permis ne devinent pas ; traitez ces messages comme la preuve d'une compromission.
- Posez la question avant de remettre quoi que ce soit. Savoir si un document peut être vérifié sans être scanné, photographié ni conservé est une question légitime — et une recommandation formulée par SecurityWeek.
- Refusez de compléter le tableau. Un attaquant qui tient votre permis réclamera les pièces manquantes : codes, selfies, documents supplémentaires. Cela, vous pouvez le refuser.