« Les seules choses qui ne s’égarent jamais, ce sont… nos données volées. » Voilà la punchline qui pourrait résumer cette semaine mouvementée pour tous ceux qui ont déjà présenté leur permis de conduire ou leur passeport pour prouver leur âge – que ce soit pour goûter à la boisson, acheter des herbes pas si aromatiques, ou louer, l’air de rien, une voiture à Miami.
Un scoop digne d’un thriller numérique signé Brian Krebs vient en effet d’éclater. Il se pourrait que vos papiers d’identité, en apparence sagement rangés, fassent désormais tapisserie sur un forum du dark web, à l’affiche du site Nexus – sorte de Google Docs, mais pour usurpateurs d’identité russophones. Imaginez : 150 millions de permis, passeports et, cerise sur le gâteau, les selfies de leurs fiers propriétaires, accessibles en un clic. Même le secrétaire à la Défense des États-Unis, Pete Hegseth, y a eu droit : la célébrité numérique, ça n’arrive jamais qu’aux autres… jusqu’au jour J.
Le site Nexus n’y va pas par quatre chemins : il promet de nouveaux documents à la chaîne, vraisemblablement siphonnés « en temps réel » grâce à l’une de ces entreprises chargées de vérifier nos identités dans le monde réel. Dans cette course à la fuite de données, l’enquête de Krebs et du chercheur en cybersécurité Zach Edwards pointe du doigt IDScan, une société de Louisiane que l’on imagine d’ordinaire plus préoccupée par le bon alignement des photos d’identité que par des cyber-cambrioleurs planqués à l’Est.
Nos données sont parfois mieux voyagées que nous !
Évidemment, chez IDScan, c’est désormais motus et bouche cousue. Tandis que l’enquête de Krebs faisait mousser le scandale, Nexus s’est discrètement déconnecté, probablement pour des « raisons indépendantes de leur volonté », dixit leur avocat imaginaire. Du côté du FBI, on botte en touche : oui, il y a enquête, mais pas question d’en dire plus pour ne pas gâcher le suspense. On croirait presque à un mauvais remake de Mission Impossible, version administration américaine.
Ce scandale survient à un moment où les gouvernements rêvent d’imposer la vérification de l’âge en ligne à grand renfort de scans de passeports. Les experts en sécurité voient rouge : plus il y a de données stockées, plus elles finissent tôt ou tard dans la nature… et ça, même Lara Croft n’y aurait rien pu faire.
En effet, si la brèche se confirme, on tiendrait là le casse du siècle en matière de documents d’identité. Ce qui devait rester dans l’intimité de la sacoche à gants ou du fond de poche de jeans usé s’est trouvé propulsé sous les projecteurs du marché noir numérique. En résumé, le plus grand braquage de « selfies administratifs » qu’Internet ait connu depuis longtemps.
En attendant que le FBI vienne jouer les Ghostbusters du vol d’identité, un conseil : la prochaine fois qu’on vous demande une preuve d’identité, gardez en tête que votre sourire peut être immortalisé très, très loin de votre bar préféré… Après tout, qui aurait cru que vérifier son âge pouvait nous faire vieillir aussi vite ?
Source : Techcrunch
