Découverte d’un service de vol d’identité sur le dark web
Cette semaine, la communauté crypto est en émoi suite à la découverte par des experts en cybersécurité, dont le chercheur et journaliste Brian Krebs de Krebs on Security, d’un service sur le dark web, connu sous le nom de Nexus, qui prétend vendre des scans de plus de 153 millions de permis de conduire de personnes vivant aux États-Unis et au Canada. Cette situation a suscité une indignation croissante à l’égard de la politique de Know Your Customer (KYC) et des menaces qu’elle représente pour les citoyens ordinaires.
Les détails de la fuite
Le 31 août, Brian Krebs a été alerté sur l’existence d’un nouveau service de vol d’identité sur le dark web. La plateforme, appelée Nexus, a été annoncée sur un forum en langue russe connu sous le nom d’Exploit. Selon l’article de Krebs, 153 millions de permis de conduire de citoyens américains et canadiens sont en vente, accompagnés de millions d’autres documents d’identité également disponibles à l’achat.
Le 1er septembre, Krebs a rapporté que le bureau de terrain de la Nouvelle-Orléans du Federal Bureau of Investigation (FBI) avait lancé une enquête officielle sur la source de ces images. Nexus prétend détenir 153 347 439 dossiers de permis de conduire, ainsi que 10 335 678 dossiers de cartes d’identité, 3 304 030 documents de voyage et passeports, et 579 000 cartes médicales. Les rapports indiquent que la majorité des dossiers concernent des individus américains.
Krebs a également vérifié l’authenticité de ces scans avec l’accord des personnes concernées, et a confirmé que de vraies identités avaient été découvertes. Le rapport de cybersécurité a précisé que les permis contenaient des photos de face et de dos, ainsi que des versions infrarouges et ultraviolettes. Les voleurs se sont même vantés d’avoir en leur possession une pièce d’identité du secrétaire à la Défense des États-Unis, Pete Hegseth, notamment son permis de conduire.
Réactions de la communauté crypto
Cette fuite a rapidement fait le tour des réseaux sociaux tels que X, Facebook et Reddit, où les membres de la communauté crypto partagent leurs réflexions. Erik Voorhees, fondateur de Venice.ai et Shapeshift, a critiqué les réglementations KYC, déclarant :
« Le KYC est une escroquerie qui met en danger des millions de personnes innocentes afin que les régulateurs puissent se sentir comme s’ils apportaient de la valeur au monde. »
Sur X, le compte crypto populaire TFTC a ajouté :
« La politique KYC et AML met beaucoup plus en danger des personnes innocentes qu’elle ne permet d’attraper des criminels. Les criminels motivés contournent la conformité avec des identités volées, des mules, des sociétés fictives et des initiés corrompus. La personne respectueuse de la loi fait ce que l’écran lui dit. Elle scanne son permis. Puis son visage. Puis fait confiance à une entreprise qu’elle n’a jamais entendue parce qu’un comptoir de location ou un échange l’a exigé. »
TFTC a également souligné que
« le criminel obtient un autre obstacle à contourner, tandis que la personne innocente est ajoutée à un autre pot de miel. »
Conséquences et enquêtes en cours
S’exprimant auprès du Hawaii Tribune Herald, le chercheur en menaces Zach Edwards d’Infoblox a qualifié cet incident de sans précédent, affirmant :
« Il n’y a jamais eu de violation de permis de conduire à cette échelle. »
Il a également souligné que cette violation « a créé des risques légitimes pour la sécurité nationale pour des individus de haut profil. »
Bien que le FBI ait pris connaissance de la situation, il n’a pas encore publié de communiqué de presse officiel. Les enquêteurs n’ont pas divulgué de source définitive des données ni le nombre réel de permis de conduire confirmés comme ayant été fuités, laissant ainsi des millions d’Américains et de Canadiens dans l’incertitude. Au moment de la rédaction, il n’est pas clair si les autorités fédérales prendront des mesures supplémentaires concernant les individus ou organisations affectés. Jeudi, SoFi Technologies, Inc. et Payward, la société mère de Kraken, ont annoncé un partenariat visant à améliorer les actifs numériques…
