Six images par permis de conduire : le recto, le verso, puis les mêmes vues en infrarouge et en ultraviolet. C’est ce niveau de détail qui a mis le journaliste américain Brian Krebs sur une piste, quand une source lui a signalé le 31 août une boutique du dark web où son propre permis servait d’échantillon gratuit.
Neuf permis, neuf voyages, les mêmes horodatages
La boutique, baptisée Nexus, mettait en vente 153 millions de permis de conduire appartenant à des habitants des États-Unis et du Canada. Krebs a demandé à une douzaine de proches l’autorisation d’y chercher leurs papiers. Neuf les ont retrouvés. Tous ont confirmé avoir voyagé le jour indiqué par l’horodatage accolé aux fichiers, apparemment réglé sur l’heure de Greenwich.
Sa propre mère figure dans la base, avec un horodatage distant du sien de quelques secondes. Les deux avaient tendu leur permis au même employé d’un comptoir de location Hertz, en juin 2025. Le chercheur Zach Edwards, dont le permis se trouvait aussi au catalogue, n’avait loué aucune voiture à Las Vegas mais avait laissé passer ses papiers dans un lecteur à l’entrée du dispensaire de cannabis Planet13. Point commun des deux enseignes : IDScan.net, une société de La Nouvelle-Orléans qui vend la vérification de documents d’identité.
Un catalogue qui grossissait chaque jour
Nexus ne proposait pas que des permis. D’après le relevé publié par KrebsOnSecurity, l’inventaire annonçait :
- plus de 153 millions de permis de conduire américains et canadiens ;
- plus de 10 millions de cartes d’identité ;
- plus de 3 millions de documents de voyage ou de pièces internationales ;
- au moins 579 000 cartes médicales, dont des cartes de dispensaire de cannabis.
En vingt-quatre heures, le compteur des permis a grimpé de près de 400 000. Les vendeurs revendiquaient plus d’un an d’extraction continue chez « une grande société de vérification d’identité », ce qui suppose un accès toujours ouvert. Le permis du secrétaire américain à la Défense, Pete Hegseth, figurait dans le lot. Le site a disparu du dark web dans les heures qui ont suivi la publication de l’enquête, sa page d’accueil remplacée par une ligne annonçant la fermeture du service.
Le FBI ouvre une enquête à La Nouvelle-Orléans
Le bureau local du FBI a ouvert le 1er septembre une enquête officielle sur une possible violation de données chez IDScan.net. Krebs l’a appris au cours d’une conférence téléphonique avec une demi-douzaine d’agents fédéraux. Jillian Kossman, responsable marketing et opérations de l’entreprise, lui a confirmé qu’une investigation interne était en cours, sans donner de détails. Interrogé par TechCrunch, le département américain de la Défense a répondu avoir connaissance de ces informations et être en train de les évaluer. Le directeur général d’IDScan.net n’a pas répondu au média.
La société revendique, sur les pages commerciales que cite KrebsOnSecurity, plus de 21 millions de vérifications par mois dans plus de 20 000 points de contrôle à travers le monde et compte parmi ses clients Hertz, Target ou FedEx. Elle assure la vérification d’âge de plus de 1 000 dispensaires de cannabis répartis dans 19 États.
Un permis ne se réinitialise pas comme un mot de passe
C’est ce qui sépare cette affaire d’un vol de mots de passe ordinaire. L’éditeur de sécurité Malwarebytes le formule simplement : un mot de passe se réinitialise, pas une date de naissance, une adresse ni un numéro de permis, surtout quand ils arrivent accompagnés d’images haute définition du document officiel.
Larry Baldwin, chercheur chez Cybera, dont le permis se trouvait lui aussi dans la base, souligne auprès de KrebsOnSecurity qu’un permis sert couramment de preuve d’identité pour ouvrir une ligne de crédit. Il pense aussi aux gens qui ont des raisons de ne pas être retrouvés, victimes de violences conjugales ou témoins protégés, incapables de modifier leur apparence assez pour tromper les outils de comparaison d’images.
Ce que la CNIL écrit là-dessus depuis 2022
Aucun document français n’a été identifié dans cet ensemble, qui concerne les États-Unis et le Canada. Le mécanisme, lui, est celui que la France déploie : prouver son âge ou son identité en confiant ses papiers à un prestataire.
« Ce système est donc à la fois peu fiable et peu respectueux des données personnelles, car il nécessite, pour fonctionner, la collecte et le traitement d’un justificatif d’identité officiel. »
La phrase vient de la CNIL, qui passait en revue en juillet 2022 les méthodes de vérification de l’âge. Elle y écarte la simple copie de pièce d’identité pour deux motifs : rien n’empêche d’utiliser celle d’un autre majeur du foyer, et il faut bien collecter le document quelque part. La commission recommande depuis 2021 de passer par un tiers vérificateur indépendant. Le référentiel de l’Arcom, sur lequel elle s’est prononcée le 26 septembre 2024, prévoit qu’après une période transitoire les sites pornographiques proposent au moins une solution dite en « double anonymat » : le site apprend que l’internaute est majeur sans savoir qui il est, le prestataire sait qui il est sans savoir quel site il consulte.
La commission ajoute que généraliser ces contrôles pourrait mener à « un monde numérique fermé, dans lequel les individus devraient constamment prouver leur âge, voire leur identité ». Son laboratoire d’innovation a construit avec le pôle d’expertise de la régulation numérique de l’État un démonstrateur reposant sur les « preuves à divulgation nulle de connaissance », qui permet d’établir qu’une situation est avérée sans révéler d’autre information. À La Nouvelle-Orléans, l’enquête ouverte le 1er septembre porte pour l’instant sur une seule question : d’où venaient les images.
