Vous avez loué une voiture récemment ? Un scan de votre permis de conduire était peut-être en vente
Le 31 août, un service se faisant appeler Nexus est apparu sur un forum cybercriminel russe, avec une offre nettement pire qu'une simple fuite de mots de passe. Brian Krebs, qui l'a documentée le 1er septembre, a dénombré plus de 153 millions de permis de conduire américains et canadiens, plus de 10 millions de cartes d'identité, 3 millions de documents de voyage et 579 000 cartes médicales. Images recto et verso, et dans certains cas les scans infrarouges et ultraviolets. Nexus affirmait extraire discrètement des enregistrements frais d'une "grande société de vérification d'identité" depuis plus d'un an, et disait en avoir ajouté 400 000 au cours des dernières 24 heures.
La société en question semble être IDScan.net, une entreprise de Louisiane dont les scanners se trouvent derrière les comptoirs des agences de location de voitures, des hôtels, des bars, des armureries et des dispensaires. Hertz est client. Nexus a disparu le 2 septembre, le lendemain de la publication de Krebs, ce qui n'a rien à voir avec une disparition des données. Le 4 septembre, le bureau du FBI de La Nouvelle-Orléans avait ouvert une enquête, plusieurs plaintes avaient été déposées en Louisiane, et IDScan n'avait toujours rien dit publiquement.
Voici la partie gênante. Un permis n'est pas un mot de passe. Vous ne pouvez pas changer votre date de naissance, et une image nette et en haute résolution d'un vrai document est exactement ce qu'il faut pour ouvrir un compte à votre nom ou convaincre un service client. Bloquer votre dossier de crédit est la mesure la plus utile, et elle est gratuite. Ensuite, considérez tout appel ou message qui récite votre numéro de permis comme une preuve de rien du tout. Ce détail n'est plus privé.
La plupart d'entre nous gardent aussi leurs propres copies, la photo du passeport pour une réservation, le scan du permis réclamé par l'assureur, dans un dossier sur le PC. Le contrôle de posture de sécurité de Tendvane vous dira si le disque qui les contient est réellement chiffré avec BitLocker, ce qui n'est pas la même chose que de le supposer.