L’affaire Nexus n’est pas une simple fuite de mots de passe. Elle concerne les preuves que l’on demande justement après les fuites: permis de conduire, cartes d’identité, documents de voyage, cartes médicales, visages, codes-barres, signatures et éléments de sécurité. KrebsOnSecurity a rapporté qu’un service criminel proposait des scans de plus de 153 millions de permis aux États-Unis et au Canada, plus des millions d’autres documents. Selon ce reportage, le FBI à La Nouvelle-Orléans a ouvert une enquête et Nexus a disparu peu après.

Cartes d’identité anonymisées protégées par un bouclier avec cadenas et suppression de données

La bonne réponse n’est pas la panique. Il faut distinguer faits, observations et allégations. Un scan d’identité ne se réinitialise pas comme un mot de passe. Il contient image, signature, adresse, date de naissance et signaux de confiance qui peuvent rester utiles longtemps.

Ce que l’on sait

Krebs parle de plus de 153 millions de permis, plus de 10 millions de cartes d’identité, plus de 3 millions de documents de voyage ou internationaux et au moins 579 000 cartes médicales. Il décrit aussi une recherche vide donnant environ 11,5 millions de pages de résultats. Ces chiffres doivent rester des observations rapportées, pas un total forensique officiel.

Krebs a trouvé son propre permis dans le service et décrit des scans recto verso, y compris infrarouge et ultraviolet. Pour plusieurs proches, les dates semblaient correspondre à des voyages ou locations. Le sujet n’est donc pas abstrait: il peut venir de vérifications ordinaires.

Ce qui n’est pas prouvé

La source exacte n’est pas publiquement démontrée. Le nombre de personnes uniques, les doublons, l’âge des données et la continuité de l’exposition restent inconnus. IDScan.net est cité dans l’enquête comme source probable, mais l’entreprise n’a pas confirmé la portée ni la nature d’un accès non autorisé dans les éléments disponibles.

Il ne faut pas non plus supposer que chaque marque affichée dans une liste commerciale est concernée. Krebs a mis à jour son article avec une précision de Caesars indiquant ne pas être client IDScan.net et ne pas utiliser VeriScan depuis février 2025.

Pourquoi ces données sont différentes

Un scan regroupe nom, date de naissance, adresse, numéro, signature, photo, données lisibles par machine et signes visuels d’authenticité. Il peut servir à l’ingénierie sociale, à la récupération de comptes, à la fraude, au doxxing, au harcèlement ou à des contrôles faibles.

Remplacer un permis peut aider, mais ce n’est pas une remise à zéro. L’ancienne image garde visage, signature, adresse passée et contexte. Les documents médicaux et de voyage ajoutent des risques plus sensibles.

Comment ces copies apparaissent

La personne pense louer une voiture, entrer dans un hôtel, acheter un produit réglementé ou prouver son âge. Mais le système peut lire un code-barres, photographier les deux faces, capturer infrarouge ou ultraviolet, comparer un visage, interroger une API, stocker le résultat ou conserver l’image entière.

Regarder un document et le conserver ne sont pas équivalents. Le bon design prouve le minimum: âge suffisant, document valide, visite vérifiée aujourd’hui. Le mauvais design garde une copie complète pendant des années pour une décision oui/non.

Pourquoi les prestataires concentrent le risque

La vérification d’identité a une utilité réelle: faux documents, secteurs réglementés, accès, finance, hôtellerie, location. Mais un fournisseur qui touche beaucoup d’industries concentre des données très précieuses. L’utilisateur final ne choisit pas le fournisseur, ne négocie pas la rétention et ne voit parfois jamais son nom.

Un service qui réduit la fraude localement peut augmenter le risque collectif s’il devient entrepôt central de documents. La minimisation, le chiffrement, les journaux d’accès, la suppression et les limites de conservation sont aussi importants que la détection.

Que faire côté particuliers

Ne cherchez pas votre nom sur des marchés criminels ni sur des sites promettant une vérification. Attendez les notifications officielles des organisations où votre document a été scanné. Méfiez-vous des messages urgents sur remplacement de documents, hôtels, locations ou remboursements.

Aux États-Unis, envisagez un gel de crédit chez Experian, Equifax et TransUnion. Cela ne bloque pas tout, mais complique l’ouverture de nouveaux comptes. IdentityTheft.gov sert de point central FTC en cas d’abus. Renforcez email, téléphone, comptes bancaires, alertes, PIN opérateur et MFA robuste. Au Canada, suivez le Canadian Anti-Fraud Centre et les autorités compétentes.

Que faire côté organisations

Inventoriez les scans d’identité. Où sont-ils pris? Qui reçoit l’image? Les deux faces sont-elles conservées? Et les versions infrarouge ou ultraviolet? Combien de temps? Qui accède? Les données entraînent-elles des modèles? Quels sous-traitants? La suppression est-elle vérifiable?

Séparez vérification et conservation. Si l’objectif est l’âge ou l’accès, conserver toute l’image pendant des années se justifie mal. Si la loi impose une conservation, gardez le minimum. Demandez aux fournisseurs flux de données, durée de rétention, délais de notification, audits, régions de stockage, clés gérées par client, API de suppression et règles d’entraînement.

À ne pas faire

Ne téléversez pas votre document sur un site de “check”. Ne téléphonez pas aux numéros d’e-mails alarmistes. Ne publiez pas votre pièce en demandant conseil. Ne supposez pas que Nexus disparu signifie données détruites. Évitez aussi le fatalisme: gel de crédit, surveillance des comptes et durcissement de la récupération réduisent vraiment le risque.

Conclusion

La leçon n’est pas seulement de mieux scanner. C’est de prouver moins. Prouver l’âge sans adresse complète, l’accès sans image recto verso, la validité sans conserver de quoi usurper plus tard. L’histoire continue, mais le point défensif est clair: les copies de documents sont des actifs sensibles, pas des déchets opérationnels.