153 millions de pièces d'identité en vente, et pas une seule volée à un imprudent

Le 31 août, un nouveau vendeur apparaît sur Exploit, forum criminel russophone. Pour prouver la qualité de son catalogue, il publie un échantillon gratuit : le permis de conduire de Brian Krebs, journaliste d'investigation en cybersécurité, qui allait enquêter sur lui dans les quarante-huit heures. Commercialement, on ne peut pas lui retirer le sens de la démonstration.

Le service s'appelait Nexus. On y tapait un nom, on obtenait un document. Le permis du secrétaire à la Défense américain y était affiché à cent dollars.

Yahoo a fait mieux en volume, avec trois milliards de comptes en 2013. Un mot de passe se change en trente secondes, une carte bancaire s'oppose en un appel, et le numéro d'un titre régalien vous accompagne dix ans, votre visage un peu plus longtemps.

Ce que contenait exactement la base Nexus

Plus de 153 millions de permis de conduire américains et canadiens, dont environ 1,1 million de permis canadiens, auxquels s'ajoutaient plus de 10 millions de cartes d'identité, plus de 3 millions de titres de voyage et de documents internationaux, et au moins 579 000 cartes médicales, cartes de dispensaires de cannabis comprises. Le vendeur revendiquait au total les papiers de plus de 170 millions de personnes en Amérique du Nord, et affirmait exfiltrer en continu depuis plus d'un an.

Ce chiffre sort d'une annonce commerciale sur un forum criminel, avec tout le crédit qu'on accorde à ce genre de source. Krebs l'a testé à sa façon : une recherche à vide renvoyait environ 11,5 millions de pages de résultats à quinze entrées par page, et le stock a grossi de près de 400 000 enregistrements pendant les vingt-quatre heures où il observait.

Sa méthode de vérification, elle, se tient. Il a demandé à une douzaine de proches l'autorisation de chercher leurs papiers. Neuf y figuraient, et tous ont confirmé s'être déplacés à la date inscrite dans le nom des fichiers. Son propre horodatage correspondait à un vol de juin 2025 pour un enterrement de famille. Celui de Zach Edwards, à un passage à Las Vegas pendant la DEFCON.

Chaque image porte donc l'heure et le lieu d'un contrôle. La base raconte accessoirement où se trouvaient ces gens ce jour-là, ce qui ne figurait pas dans l'argumentaire de vente.

Pourquoi une image de permis vaut plus qu'un mot de passe volé

Certains dossiers contiennent six images du même document : recto et verso en lumière visible, recto et verso en infrarouge, recto et verso en ultraviolet. Un lecteur de contrôle professionnel éclaire les titres dans ces trois spectres pour vérifier les sécurités que l'œil ne voit pas, et IDScan.net documente publiquement ce processus à six images.

Un attaquant qui dispose du rendu infrarouge et ultraviolet d'un permis authentique tient la réponse attendue par les machines chargées de repérer les faux. Le dispositif qui certifie qu'un document est vrai a publié son corrigé.

La conséquence dépasse largement les 153 millions de personnes exposées à l'usurpation. Tout système de contrôle qui traite la possession d'un scan comme une preuve d'identité vient de distribuer sa clé en 153 millions d'exemplaires, et continuera pourtant à fonctionner lundi matin comme si de rien n'était.

Mon passeport, un homme d'Interpol et un groupe WhatsApp

J'ai lu cette histoire en repensant à un aéroport turc.

L'homme m'aborde à l'enregistrement des bagages. Pas au contrôle des passeports, pas à la douane : devant le tapis, entre la balance et la file d'attente. Il est d'Interpol, il me le dit, et c'était vrai. Il prend mon passeport, le photographie avec son téléphone, m'explique que l'image part au poste de contrôle des passeports, et me rend le document.

Quand j'ai posé la question, un peu plus loin, on m'a répondu non. Personne n'avait réclamé cette photo. La suite a duré nettement plus longtemps qu'un contrôle ordinaire, dans une pièce où le mot garde à vue avait cessé d'être une figure de style, et pendant ce temps mon passeport circulait déjà dans un groupe WhatsApp.

C'était en transit vers la Russie, où j'ai ensuite passé un mois à regarder mes VPN tomber un par un. Deux téléphones préparés, l'un propre pour la frontière, l'autre chiffré et éteint, des semaines de réflexes révisés en bon poliment paranoïaque. Le seul document sorti du pays sans moi est celui que j'ai tendu de ma main parce qu'on me l'a demandé gentiment.

L'incident lui-même reste anecdotique. La justification, en revanche, mérite qu'on s'y arrête : une raison administrative parfaitement plausible, énoncée avec assurance par quelqu'un qui en avait l'autorité, et qui ne correspondait à aucune procédure existante. Il y avait un geste, et un habillage pour le rendre acceptable.

Le même geste aurait pu être légitime, et rien dans la scène ne permettait de trancher. Tous les contrôles d'identité se ressemblent, qu'ils reposent sur une obligation écrite ou sur l'initiative d'un agent qui a son téléphone en main.

Un hôtelier peut-il conserver une copie de votre pièce d'identité ?

Non. La CNIL répond non à cette question précise, et depuis un moment.

L'établissement peut vous demander de présenter le document, notamment pour établir votre nationalité, puisque les hôteliers doivent faire remplir une fiche individuelle de police aux clients étrangers. Il peut aussi vous le demander si vous payez par chèque. Il n'a pas le droit d'en garder la photocopie ni le scan.

La règle est publique, gratuite, et tient en un paragraphe. Comptez maintenant les scanners que vous avez vus derrière un comptoir de réception.

L'été dernier, près de 100 000 scans de passeports et de cartes d'identité collectés dans des hôtels italiens se sont retrouvés en vente sur le dark web, et j'en ai fait la chronique pour TourMaG au moment des faits. Les intrusions n'avaient rien de spectaculaire : mots de passe par défaut, postes laissés ouverts, stockages non chiffrés, configurations remises à plus tard parce qu'on était en pleine saison. Les attaquants n'ont pas eu besoin d'être brillants. Les documents étaient là, en haute résolution, classés par client.

On demande toujours comment ils sont entrés. Je préfère demander pourquoi il y avait quelque chose à prendre.

Ce qui reste une fois le dossier clos

Suivez le trajet d'un justificatif ordinaire. Il arrive par courriel, quelqu'un l'enregistre dans un dossier partagé, le transfère à un collègue pour validation, l'imprime peut-être. La demande est traitée, le dossier se referme.

Vous avez maintenant une copie dans la boîte mail de l'expéditeur, une dans celle du destinataire, une dans le dossier partagé, une dans la sauvegarde du dossier partagé, une dans le téléphone de la personne qui a validé, et une sur l'imprimante si la journée a été chargée.

La durée de conservation se déduit de la finalité poursuivie et des obligations applicables, elle se documente et elle se termine. Certaines conservations sont parfaitement justifiées et je ne plaide pas pour l'effacement général. Garder une information relève d'un régime, la laisser accessible partout et à tout le monde dans les outils du quotidien relève d'un autre, et la CNIL sépare explicitement la conservation courante de l'archivage à accès restreint.

Une organisation peut avoir une excellente raison de détenir votre pièce d'identité, et aucune raison d'en laisser traîner cinq exemplaires.

Pourquoi personne n'a la charge de rouvrir le dossier

« On a toujours fait comme ça » explique d'où vient une pratique. Sur son utilité actuelle, l'argument reste discret. Le principe de minimisation dit l'inverse depuis le premier jour : on collecte ce qui est nécessaire à une finalité définie, et la finalité existe précisément pour empêcher la collecte au cas où.

Il n'y a donc aucun vide juridique à combler. La règle est écrite, elle est gratuite, et la procédure ne l'a jamais croisée.

L'explication par la négligence des équipes est commode et fausse. Ce que j'observe en mission ressemble plutôt à ceci : la réceptionniste applique la consigne qu'on lui a donnée, le responsable d'établissement a hérité de cette consigne de son prédécesseur, l'éditeur du logiciel a livré la fonction scan parce que le marché la réclamait, et le tableau des durées de conservation dort dans un dossier que personne n'a rouvert depuis l'audit initial. Chacun fait correctement sa part. L'arbitrage n'appartient à personne en particulier, ce qui revient à dire qu'il n'a pas lieu.

Cette responsabilité porte pourtant des noms : ceux qui décident des documents exigés, des outils achetés, des accès accordés et des règles de suppression. Ils figurent dans n'importe quel organigramme. Ils ne sont presque jamais désignés.

Que faut-il exiger de ceux qui détiennent nos copies ?

Pourquoi le document entier, plutôt que l'information dont vous avez besoin ? Une date de naissance n'est pas une carte d'identité, une nationalité n'est pas un passeport, et une majorité s'atteste sans révéler un état civil complet.

Qu'est-ce qui vous oblige à le conserver, combien de temps, et chez quels sous-traitants ? La réponse ne tient pas dans une mention de politique de confidentialité. Elle tient dans une durée écrite et une suppression exécutée, que quelqu'un peut montrer.

Et sur quoi repose votre vérification, si détenir l'image d'un document suffit à vous convaincre que la personne en face en est le titulaire ? Celle-là, personne ne la pose, et l'affaire Nexus la rend franchement inconfortable.

Un mot sur la messagerie, parce que la remarque tombe systématiquement quand je raconte l'histoire du passeport. Oui, il y a WhatsApp dans mon récit. Chiffrer le transport reste indispensable et ne dit rien de la nécessité de l'envoi. Changer d'application sans revoir la procédure laisse la question de départ intacte : pourquoi fallait-il transmettre cette copie.

La preuve plutôt que la photocopie

France Identité génère depuis 2024 un justificatif d'identité à usage unique, un PDF signé électroniquement par le ministère de l'Intérieur, prévu pour prouver une identité sans livrer l'image de la carte. La CNIL soutient par ailleurs les mécanismes permettant d'attester un attribut, la majorité par exemple, sans révéler l'identité complète au service consulté.

Il faut la nouvelle carte au format carte bancaire, un téléphone compatible NFC, et un destinataire disposé à l'accepter, ce qui laisse encore une belle marge de discussion au comptoir. Ces architectures ne dispensent ni de sécuriser l'enrôlement initial, ni d'auditer le vérificateur, sujet que j'ai développé à propos de la loi du 21 juillet.

Elles prouvent au moins qu'on sait fabriquer une preuve sans fabriquer un stock.

Ce qui reste ouvert

L'origine exacte des données n'est pas établie. IDScan.net dit enquêter, le FBI de La Nouvelle-Orléans instruit, et les actions collectives déposées en Louisiane produiront peut-être ce qu'aucun communiqué n'a produit jusqu'ici : une durée de conservation écrite, un périmètre, une date de début d'exfiltration.

Le reste ne dépend d'aucune de ces réponses. Nous dépensons une énergie considérable à expliquer aux gens de ne pas confier leurs papiers à n'importe qui, et beaucoup moins à demander ce que les destinataires légitimes en font ensuite. « Avez-vous vérifié son identité » a cessé d'être une question suffisante. La suivante commence par : qu'avez-vous gardé après l'avoir vérifiée, et qui peut encore y accéder ce matin.

Mon passeport a circulé parce qu'un homme a trouvé normal d'en faire une image, et parce qu'aucune ligne de sa fiche de poste ne l'invitait à se demander si ça l'était. J'avais deux téléphones et un tunnel chiffré. Il a suffi d'un appareil photo et d'une phrase polie.

Dans les hôtels italiens comme sur ce marché fermé mardi dernier, le travail le plus difficile avait déjà été fait par des gens honnêtes qui appliquaient la procédure.

À lire également

• Le palmarès des pires fuites de données françaises de 2026 (spoiler : vous êtes dedans)
• Une semaine de fuites de données en France : le fichier que personne n'a voulu
• Le 1er janvier 2027, la France vérifiera l'identité de tous ses adultes
• Un mois en Russie : le jour où quatorze VPN sont tombés
• Rapport CNIL 2025, lecture d'un régulateur en mutation
• 100 000 passeports volés dans des hôtels, et si ça vous arrivait demain ? (TourMaG, 16 septembre 2025)
• Les gestes concrets, par profil d'utilisateur, sont regroupés sur etrecyber.fr.

Sources

• Révélation du service Nexus, composition de la base, vérification par horodatage auprès de neuf proches et identification d'IDScan.net comme origine probable : KrebsOnSecurity, 1er septembre 2026.
• Enquête du bureau du FBI de La Nouvelle-Orléans, fermeture du service et origine des données non établie : TIME, 3 septembre 2026 et dépêche Reuters du 2 septembre 2026.
• Répartition des documents, volume canadien et volumétrie de vérifications revendiquée par le prestataire : SecurityWeek et Infosecurity Magazine, 3 septembre 2026.
• Permis du secrétaire à la Défense proposé à cent dollars : Cybernews.
• Actions collectives déposées en Louisiane : BleepingComputer, 5 septembre 2026.
• Interdiction faite à l'hôtelier de conserver une copie d'une pièce d'identité et régime de la fiche individuelle de police : CNIL.
• Fuite d'environ 100 000 scans collectés dans des hôtels italiens : chronique TourMaG, 16 septembre 2025.
• Justificatif d'identité à usage unique signé par le ministère de l'Intérieur : France Identité.