Une fuite de données chez Nexus ID révèle un mode opératoire de fraude, avertissent les experts

Cette place de marché du dark web a fait surface fin août, affirmant avoir accès à environ 170 millions d’enregistrements, dont plus de 153 millions de permis de conduire américains et canadiens, 10 millions d’autres pièces d’identité, 3 millions de documents de voyage et au moins 579 000 cartes de santé. Ses exploitants ont affirmé que ces informations avaient été détournées pendant plus d’un an au détriment d’une grande société spécialisée dans la vérification d’identité.

La fuite de Nexus va bien au-delà d’un simple vol de mots de passe

Une fuite de mots de passe est fâcheuse, mais il existe généralement une issue de secours : changer de mot de passe. Les pièces d’identité délivrées par les pouvoirs publics relèvent d’une tout autre catégorie. Le Dr Marilyne Ordekian a souligné que les permis de conduire contiennent des informations qui suivent les personnes pendant des années, voire pour toujours, notamment leur photo, leur adresse personnelle et leur date de naissance.

« En cas de fuite de mots de passe, on peut réinitialiser ses identifiants et passer à autre chose », a déclaré Mme Ordekian. Avec des pièces d’identité officielles volées, a-t-elle expliqué, les informations sont en effet indissociables de l’identité d’une personne et ne peuvent pas être simplement réinitialisées une fois que les criminels s’en sont emparés. Ce qui rend Nexus particulièrement alarmant, c’est la présence signalée de scans infrarouges et ultraviolets. Mme Ordekian a expliqué que ces scans constituent « une mesure de sécurité utilisée pour vérifier l’authenticité », ce qui signifie qu’ils servent « à certifier l’authenticité d’un document physique ». Elle a averti que les criminels pourraient disposer « non seulement de votre pièce d’identité, mais aussi du modèle et de la couche technique utilisés pour prouver que celle-ci est authentique ».

Cela ouvre la voie à de nombreux problèmes. « Tout système nécessitant une pièce d’identité, qu’il s’agisse d’ouvrir un compte bancaire, un compte sur une plateforme d’échange de cryptomonnaies, de louer une voiture, de valider un virement bancaire, etc. (tout ce qui repose sur ce type de pièce d’identité pour la vérification d’identité), constitue désormais une surface d’attaque potentielle susceptible d’être exploitée », a déclaré Mme Ordekian.

Le vol des éléments de sécurité aggrave les risques de fraude

Une fois que ces données parviennent sur les marchés criminels, l’usurpation d’identité n’est qu’un point de départ. Les identifiants volés pourraient potentiellement être réutilisés à des fins d’usurpation d’identité, de création de comptes bancaires frauduleux, de blanchiment d’argent et d’autres manœuvres frauduleuses. M. Ordekian a averti que les matériaux infrarouges et ultraviolets pourraient rendre l’utilisation frauduleuse plus difficile à détecter par les systèmes de vérification, car les documents sous-jacents eux-mêmes sont authentiques.

Il existe également un aspect lié à la sécurité physique. « Nous avons constaté, dans le domaine des cryptomonnaies par exemple, que certains utilisateurs et victimes de fuites de données sont identifiés comme des investisseurs et pris pour cible physiquement afin de leur soutirer leurs actifs », a souligné M. Ordekian. « Dans ce contexte précis, cela peut également mettre en danger les victimes de violences conjugales et les personnes bénéficiant de programmes de protection des témoins. »

La piste de Nexus a conduit vers IDScan.net, un prestataire de services de vérification d’identité basé à La Nouvelle-Orléans, qui affirme traiter plus de 21 millions de vérifications d’identité par mois sur plus de 20 000 sites. IDScan n’a pas officiellement confirmé avoir été victime d’une violation, mais la société a indiqué à ses clients qu’elle enquêtait sur des informations suggérant que des données auraient pu être exposées et qu’elle « pourrait être impliquée ».

Nexus passe au crible le « pot de miel » des données KYC

Cet épisode soulève également une question délicate concernant les systèmes « Know Your Customer » (KYC) : la collecte de vastes bases de données de documents d’identité crée-t-elle un « pot de miel » irrésistible pour les criminels ? Artem Popov, responsable des produits de prévention de la fraude chez Sumsub, a déclaré que le danger ne se limitait pas aux seuls prestataires KYC. « Le stockage de données personnelles, quel que soit l’endroit, comporte des risques, et cela vaut pour toute entreprise qui les traite, pas seulement pour les prestataires KYC », a déclaré M. Popov à Bitcoin.com News. Il a ajouté que les gens devraient partir du principe qu’une photo de document est exposée dès qu’elle est partagée en ligne, car elle peut transiter par de nombreux services échappant à leur contrôle.

M. Popov a également souligné que les documents volés ne constituent qu’un maillon de la machine à fraude. « Bon nombre de ces fuites relèvent également de l’ingénierie sociale, où une personne est simplement convaincue de communiquer ses données, ce qui explique précisément pourquoi une simple photo de document ne devrait jamais suffire à valider l’inscription d’un utilisateur », a déclaré M. Popov.

Les experts préconisent des vérifications d’identité allant au-delà du simple document

La prochaine étape, selon M. Popov, consiste à ajouter une couche de sécurité supplémentaire. « De la même manière qu’un mot de passe ne suffit plus pour se connecter à des systèmes sensibles, un document doit s’accompagner d’un deuxième facteur d’authentification, comme la détection de présence, afin de confirmer qu’il appartient bel et bien à la personne qui le présente. » La détection de présence demande généralement à l’utilisateur de prouver qu’une personne réelle est physiquement présente, plutôt que quelqu’un se contentant de soumettre une photo ou un document volé.

Le simple fait de remplacer les pièces d’identité par des données biométriques n’est pas non plus une solution miracle. M. Popov a averti que la biométrie comporte ses propres risques permanents, car un visage ou tout autre identifiant biologique ne peut pas être réémis une fois compromis. M. Ordekian, quant à lui, a déclaré que cet incident devrait inciter à un examen plus approfondi des règles de sécurité relatives à la vérification d’identité et de la manière dont ces protections sont mises en œuvre.

L’enquête du FBI reste en cours, selon Krebs on Security ; des recours collectifs ont déjà été intentés, et IDScan n’a pas encore publié de rapport d’expertise complet, ce qui signifie que le secteur n’est pas encore tiré d’affaire, tandis que les enquêteurs s’efforcent de déterminer exactement ce qui s’est passé et l’étendue de la fuite.