Des pirates ont mis en vente cette semaine, sur un site baptisé Nexus, les copies numériques de plus de 153 millions de permis de conduire américains et canadiens, plus de 10 millions de cartes d'identité, 3 millions de documents de voyage et de pièces étrangères, et près de 600 000 cartes médicales. Le site vit sur le darkweb, la partie d'internet où ce commerce se fait entre criminels, à l'abri des regards.

Pour chaque personne, le dossier contient jusqu'à six photos du permis, recto et verso, en lumière normale, en infrarouge et en ultraviolet, avec la date et l'heure de la prise de vue. Un acheteur tape un nom, obtient un aperçu en partie masqué, et paie. Le permis du secrétaire américain à la Défense, Pete Hegseth, était affiché à 100 dollars.

Brian Krebs, un journaliste américain spécialisé dans la cybercriminalité, a tapé son propre nom. Son permis y était, et la date de la photo correspondait au jour et à l'heure où il avait tendu sa carte au comptoir d'une agence Hertz, en juin 2025.

D'autres victimes ont fait le même rapprochement, entre la date de leur photo et une location chez Hertz ou un passage dans une boutique de cannabis légal à Las Vegas. À chaque fois, le permis avait été glissé dans un petit scanner posé sur le comptoir pour vérifier qu'il était authentique.

Ces scanners viendraient tous d'IDScan.net, une société de La Nouvelle-Orléans d'une centaine de salariés que Hertz, Target, FedEx, les casinos Caesars ou des centaines de boutiques de cannabis paient pour contrôler les pièces d'identité de leurs clients. Ses appareils photographient le permis en infrarouge et en ultraviolet pour repérer les faux, et c'est exactement ce jeu de six images qu'on retrouve dans chaque dossier vendu par Nexus.

Vous montrez votre permis pour louer une voiture, le boîtier le photographie sous trois lumières, et les images partent chez un sous-traitant dont vous n'avez jamais entendu parler. C'est infernal.

IDScan.net n'a rien dit sur le fond, se contentant de prévenir ses clients dans la nuit d'un possible incident de sécurité, alors que les pirates affirmaient aspirer ces images depuis plus d'un an et en ajoutaient près de 400 000 en 24 heures. Le FBI de La Nouvelle-Orléans a ouvert une enquête le 1er septembre.

Sauf que voilà, un mot de passe volé se change. Un scan de permis, non, et une photo de pièce d'identité sert couramment à ouvrir un crédit ou à passer les contrôles d'identité en ligne, jusqu'aux prestataires qui vérifient votre âge pour les sites pour adultes par chez nous par exemple.

Le soir même de l'ouverture de l'enquête, la page d'accueil de Nexus ne montrait plus qu'une ligne. Le service n'est plus disponible. Les images, elles, sont toujours quelque part.

Source : Apple Insider

Zéro Logement Vacant, ce nom ne vous dit peut-être rien, mais c'est un service de l'État censé aider les collectivités à remettre sur le marché les logements vides. Il vient de se retrouver au cœur d'une fuite de données colossale.

Un pirate qui se fait appeler ZeroBytes affirme avoir aspiré près de 149 millions de lignes brutes depuis la plateforme. Après nettoyage des doublons, ça correspondrait à environ 48 millions de personnes différentes. En croisant les noms et les dates de naissance, on grimpe même à plus de 71 millions, mais les deux chiffres ne s'additionnent pas.

D'où vient une telle masse de données ? Essentiellement du foncier. La plateforme avait chargé d'énormes fichiers de propriétaires issus du cadastre et de la DGFiP, autrement dit le fisc. Deux tables contiennent presque tout, environ 82 millions de lignes de propriétaires d'un côté, et 66,9 millions provenant d'un fichier foncier national de 2024 de l'autre.

Le site Cyberattaque.org , qui a pu examiner des échantillons, confirme le pire. On y trouve des identités, des dates de naissance, des adresses postales et des informations liées aux droits de propriété. Un second extrait ajoute des adresses e-mail et des numéros de téléphone. Sur 500 lignes analysées, 453 contenaient un numéro, 274 un e-mail et 423 une date de naissance.

Et ça ne s'arrête pas aux propriétaires. Les comptes des utilisateurs de la plateforme sont aussi dans la nature, à savoir des agents de collectivités, des services de l'État et des prestataires. On parle de leurs e-mails professionnels, de leurs rôles, du SIREN de leur structure, mais aussi d'adresses IP, de sessions récentes et de mots de passe. Bonne nouvelle relative, ces mots de passe sont hachés, le plus souvent en bcrypt, donc pas lisibles directement, ou réutilisés ailleurs.

Le plus inquiétant, c'est la fraîcheur de certaines données, avec des sessions de connexion très récentes dans les échantillons. Ce n'est donc pas une vieille base oubliée dans un coin, mais bien un environnement encore actif.

Pour les propriétaires concernés, le risque immédiat, c'est l'hameçonnage sur mesure. Avec votre nom, votre adresse et votre bien, un faux courrier des impôts devient tout de suite bien plus crédible. Méfiance sur tout ce qui touchera au foncier dans les prochaines semaines.

Source : MacG