153 millions de permis de conduire américains et canadiens en vente sur le dark web, le FBI ouvre une enquête

Un nouveau service est apparu le 31 août 2026 sur Exploit, un forum russophone spécialisé dans la revente de données volées : Nexus promet un accès à des scans haute résolution de documents d'identité nord-américains, avec un luxe de détails technique rarement vu sur ce type de marché — reproductions en lumière infrarouge et ultraviolette, horodatage des prises de vue. Le chercheur qui a documenté la plateforme, relayé par le journaliste spécialisé Brian Krebs, avance un chiffre : plus de 153 millions de permis de conduire américains et canadiens, auxquels s'ajoutent au moins 10 millions de cartes d'identité, 3 millions de documents de voyage et 579 000 cartes d'assurance médicale.

Ce total n'est pas un chiffre officiel : il correspond à l'estimation d'un chercheur en sécurité qui a parcouru l'index de recherche de Nexus, soit environ 11,5 millions de pages de résultats à raison d'une quinzaine d'entrées par page. Le stock progresserait vite — environ 400 000 nouveaux enregistrements en une seule journée d'observation — et compterait notamment 1,1 million de permis canadiens, dont 473 673 rattachés à l'Ontario. Ce sont des ordres de grandeur observés à un instant donné sur une place de marché opaque, pas des données auditées par un tiers indépendant.

Une origine qui pointe vers un prestataire de vérification d'identité

Les caractéristiques techniques des scans ont conduit le chercheur jusqu'à IDScan.net, une société basée à La Nouvelle-Orléans qui vend des outils de vérification d'identité à des enseignes comme Hertz, Target, FedEx ou encore la chaîne de dispensaires de cannabis Planet13, et qui traiterait environ 21 millions de vérifications par mois. Une porte-parole de l'entreprise, Jillian Kossman, a indiqué ne pas être en mesure d'en dire davantage pour l'instant, tout en évoquant des échanges en cours avec les équipes concernées. Hertz n'a pas apporté de commentaire détaillé non plus. À ce stade, aucune des deux entreprises n'a confirmé publiquement l'origine exacte de la fuite : le lien avec IDScan.net repose sur l'analyse technique du chercheur, pas sur un aveu de la société.

Détail qui a poussé le dossier jusqu'au sommet de l'appareil sécuritaire américain : des documents appartenant à de hauts responsables gouvernementaux, dont le secrétaire à la Défense Pete Hegseth et un directeur adjoint du FBI, figureraient parmi les scans en circulation. Le FBI, via son antenne de La Nouvelle-Orléans, a confirmé le 1er septembre 2026 avoir ouvert une enquête et mobilisé des agents spécialisés dans la cybercriminalité.

Ce qui reste à établir

Trois éléments méritent d'être suivis dans les prochains jours : la confirmation officielle — ou non — d'IDScan.net sur l'origine de la fuite, le périmètre exact des personnes touchées au-delà des échantillons déjà identifiés, et les suites données par le FBI, dont l'enquête ne fait que commencer. Le précédent du courtier de données Snowflake, qui avait débouché sur le rançonnage de 165 entreprises avant de se refermer cet été (voir notre article sur le dossier Snowflake), rappelle que ce genre d'affaire peut mettre des mois à révéler son périmètre réel.

Source

Brian Krebs, KrebsOnSecurity, 1er septembre 2026.