Le plus grand vol connu de scans de permis de conduire en Amérique du Nord a mis en lumière Caesars Entertainment et Circa Casino. Les deux opérateurs de casinos de Las Vegas figuraient sur la liste des clients connus du fournisseur de vérification d’identité IDScan.net — Caesars étant mentionné sur la page publique des clients de IDScan, tandis que Circa apparaissait dans une étude de cas sur les clients utilisant le système VeriScan pour scanner les identités à ses entrées réservées aux personnes de 21 ans et plus.
Cette semaine, le FBI a ouvert une enquête sur un immense marché noir en ligne vendant plus de 153 millions de scans de permis de conduire américains et canadiens, que les chercheurs estiment avoir probablement été volés à IDScan, qui n’a pas désigné d’entreprise comme source des fichiers dérobés et n’a pas confirmé de violation de ses systèmes jusqu’à jeudi matin (3 septembre).
Caesars a rapidement réagi. Dans un communiqué, la société a déclaré qu’elle n’avait pas été cliente d’IDScan et n’avait pas utilisé le système VeriScan depuis février 2025, bien plus d’un an avant que la violation ne soit révélée. « Comme nous n’avions pas de comptes actifs VeriScan au moment de l’incident et n’avions pas autorisé IDScan.net à conserver des données de nos comptes, la société nous a informés que l’incident ne devrait avoir aucun impact sur Caesars Entertainment, » a écrit l’entreprise.
Circa n’a pas encore répondu aux demandes de commentaires. Si elle le fait, nous mettrons à jour cet article avec sa réponse.
Point de Nexus
Les enregistrements ont émergé après qu’un service se faisant appeler Nexus a été annoncé sur le forum de cybercriminalité en langue russe Exploit lundi (31 août). Nexus revendiquait un accès consultable à des documents d’identité pour plus de 170 millions de personnes, y compris plus de 153 millions de permis de conduire, plus de 10 millions de cartes d’identité, plus de trois millions de documents de voyage et/ou d’identité internationale, ainsi qu’au moins 579 000 cartes médicales.
Les opérateurs ont affirmé que les données provenaient d’une « intrusion active » chez un important fournisseur de vérification d’identité. Le journaliste en sécurité Brian Krebs a retracé la source probable jusqu’à IDScan.net basé à La Nouvelle-Orléans en faisant correspondre les horodatages et les types de scans avec les entreprises utilisant les systèmes de la société.
IDScan a déclaré qu’elle menait une enquête. Dans un avis aux clients, rapporté après l’article de Krebs, la société a indiqué avoir reçu des informations suggérant que certaines données pourraient avoir été exposées, qu’IDScan.net pourrait être impliqué et qu’elle travaillait à déterminer si un accès non autorisé avait eu lieu.
Krebs a confirmé l’authenticité des données après avoir trouvé son propre permis de conduire de Virginie parmi les enregistrements. Les horodatages correspondaient aux moments où lui et sa mère avaient remis leurs permis à un comptoir Hertz. (Hertz figure parmi les marques qu’IDScan mentionne comme utilisant ses services de vérification.)
Quelques heures après le rapport de Krebs, le site Nexus a disparu du dark web, sa page de connexion ayant été remplacée par un message indiquant que le service n’était plus disponible.
D’autres personnes ont trouvé des enregistrements correspondants. Le chercheur en sécurité Zach Edwards a indiqué que l’horodatage sur son permis coïncidait avec une visite au dispensaire Planet 13 à Las Vegas. En 2022, IDScan a annoncé un accord exclusif de vérification d’identité avec Planet 13.
Le lot volé incluait également des enregistrements de hauts responsables américains, y compris le secrétaire à la Défense Pete Hegseth et un directeur adjoint du FBI. L’inventaire annoncé par Nexus comprenait des centaines de milliers de cartes d’accès communes utilisées pour l’accès au département de la Défense et à d’autres installations sécurisées.
Le bureau du FBI à La Nouvelle-Orléans a ouvert une enquête mardi (1er septembre).
Risques uniques de vol d’identité
Ce qui rend cette violation alléguée particulièrement insidieuse, c’est le type de données volées. Le processus d’authentification d’IDScan peut capturer six images par document : recto et verso sous lumière visible, infrarouge et ultraviolette. Ces scans multispectraux sont les mêmes couches d’authentification que les banques et les agences gouvernementales utilisent pour vérifier qu’un document est authentique. Les fichiers divulgués examinés par les chercheurs comprenaient des scans infrarouges et ultraviolets, et non seulement des photos ordinaires.
Posséder les six images donne aux criminels l’empreinte spectrale complète d’un vrai permis — un modèle capable de contourner les systèmes conçus pour détecter les faux.
De plus, remplacer son permis de conduire ne supprimera pas le danger du vol d’identité, car un nouveau numéro de permis n’efface pas l’ancien de chaque banque, agence gouvernementale, comptoir de location ou système de vérification qui l’a enregistré, et cela n’invalide pas les images prises sous lumière visible, infrarouge et ultraviolette.