Une nouvelle plateforme du dark web appelée Nexus affirmait vendre 153 millions de scans de permis de conduire et des millions d'autres cartes d'identité et cartes médicales.
La collection comprenait plus de 153 millions de permis de conduire, 10 millions de cartes d'identité, 3 millions de documents de voyage et 579 000 cartes médicales, y compris des cartes de dispensaires de marijuana, selon les rapports .
La quantité considérable de scans de permis de conduire signalée par KrebsOnSecurity nous rappelle brutalement que la vérification d'identité n'est pas un simple exercice de formalité administrative.
Le bureau du FBI à La Nouvelle-Orléans a ouvert une enquête suite à une apparente violation de données concernant le fournisseur de vérification d'identité IDScan.net. L'entreprise a indiqué mener une enquête.
IDScan.net fait sa publicité comme suit :
« Nous proposons des solutions simples et sécurisées pour aider les dispensaires à réduire leur responsabilité et à protéger leurs licences en validant les pièces d'identité, y compris l'âge du client, en quelques secondes. »
Les documents prétendument divulgués étaient particulièrement préoccupants car certains contenaient plus qu'une simple photo d'identité. KrebsOnSecurity a découvert des documents comportant des images recto et verso, ainsi que des scans infrarouges et ultraviolets, avec des horodatages semblant correspondre aux déplacements ou aux locations de véhicules des titulaires.
C'est important, car un permis de conduire est bien plus utile à un usurpateur d'identité qu'un mot de passe. On peut réinitialiser un mot de passe. On ne peut pas facilement remplacer son visage, sa date de naissance, son adresse ou son numéro de permis, surtout lorsqu'ils sont accompagnés d'images haute résolution de sa pièce d'identité officielle.
Le problème de la vérification de l'âge
La vérification de l'âge est devenue une justification courante pour demander aux gens de télécharger une pièce d'identité, de prendre un selfie ou de soumettre les deux à un fournisseur tiers de vérification d'identité.
Nous avons déjà mis en garde contre les risques liés à la protection de la vie privée et à la sécurité dans les systèmes de vérification d'âge, notamment ceux qui exigent la soumission d'une copie d'une pièce d'identité officielle. De tels systèmes peuvent transformer une simple demande d'accès à un site web en une décision de partager un document d'identité permanent avec une entreprise dont l'utilisateur n'a peut-être jamais entendu parler.
À notre avis, il s'agit d'un risque disproportionné. Dès qu'une personne télécharge une pièce d'identité, le service ou son fournisseur peut potentiellement associer la visite à son identité. En cas de piratage du fournisseur, les conséquences peuvent aller bien au-delà du démarchage téléphonique indésirable ou de la divulgation d'une adresse électronique.
Les données Nexus publiées illustrent un problème plus général : Identity Les documents sont collectés dans de nombreux endroits que les personnes ne relient pas forcément entre eux. Chaque collecte prise individuellement peut sembler anodine, mais ensemble, elles forment un écosystème en constante expansion composé d'organisations, de prestataires, de plateformes logicielles, de services cloud et de politiques de confidentialité.
Les images faciales et les copies de pièces d'identité peuvent être réutilisées. Les criminels peuvent s'en servir pour rendre leurs escroqueries plus convaincantes, contourner les contrôles d'identité les plus élémentaires ou constituer des profils de victimes détaillés à partir de données obtenues lors de différentes violations de données. Un escroc qui connaît votre nom, votre adresse, votre date de naissance, votre adresse électronique et les informations relatives à votre permis de conduire dispose d'une base solide pour commettre une fraude.
C’est pourquoi « nous avons seulement besoin de vérifier votre âge » ne devrait pas automatiquement signifier « veuillez télécharger votre permis de conduire » ou une autre pièce d’identité.
Comment rester en sécurité
Lorsqu'une vérification d'identité est requise pour utiliser un service en ligne, posez-vous une question essentielle : pourquoi cette entreprise a-t-elle besoin d'une copie de ma pièce d'identité, et qu'advient-elle de celle-ci ensuite ? L'ampleur des données proposées par Nexus démontre l'importance de cette réponse.
Les consommateurs ne peuvent pas toujours refuser un contrôle d'identité, notamment lorsque celui-ci est légalement requis ou nécessaire pour un service réglementé. Cependant, il est possible de limiter les risques inutiles :
- Demandez si une image de la pièce d'identité est stockée et, si oui, pendant combien de temps.
- Vérifiez si l'entreprise fait appel à un prestataire tiers de vérification d'identité.
- Privilégiez les services qui proposent une vérification d'âge respectueuse de la vie privée plutôt que d'exiger le téléchargement d'une pièce d'identité complète.
- Évitez de soumettre des documents d'identité à des sites auxquels vous ne faites pas confiance ou que vous n'aviez pas l'intention d'utiliser.
- N’envoyez pas de copies de pièces d’identité par courriel, sauf s’il n’existe aucune autre solution plus sûre et que vous avez vérifié indépendamment l’identité du destinataire.
- Soyez vigilant face aux tentatives d'hameçonnage, aux arnaques à la récupération de compte et aux demandes de crédit frauduleuses si vous pensez que votre identité a pu être compromise.
- Envisagez un gel de crédit si cette option est disponible.
Soyons réalistes, une fenêtre de navigation privée a ses limites.
Fuites de données, commerce sur le dark web, fraude à la carte de crédit. Malwarebytes Identity Theft surveille tous ces risques, vous alerte rapidement et inclut une assurance contre l'usurpation d'identité.
