Les autorités canadiennes en matière de vie privée ont ouvert une enquête sur IDScan.net suite à une importante faille de sécurité impliquant des copies numériques de permis de conduire et d’autres pièces d’identité délivrées par le gouvernement.
Le Bureau du commissaire à la protection de la vie privée du Canada examine si l’entreprise de vérification d’identité disposait de garanties de sécurité adéquates avant que les attaquants n’accèdent aux informations stockées dans son environnement cloud. L’enquête déterminera également si IDScan.net correctement notifié les personnes concernées, comme l’exige la loi fédérale canadienne sur la vie privée sur la vie privée.
IDScan.net fournit une technologie que les entreprises utilisent pour vérifier les pièces d’identité officielles. Ses services sont utilisés dans des secteurs tels que l’hôtellerie et la vie nocturne, ce qui signifie que l’entreprise peut gérer des informations particulièrement sensibles collectées lorsque les clients prouvent leur identité.
L’incident a attiré l’attention après qu’une place de marché du dark web appelée Nexus aurait offert l’accès à une immense collection de documents d’identité des États-Unis et du Canada. La place affirmait posséder environ 153 millions de dossiers de permis de conduire, ainsi que des millions d’autres documents d’identité.
Ce chiffre n’a pas été confirmé par IDScan.net ni par les autorités canadiennes comme le nombre de personnes concernées par la violation de l’entreprise. Des rapports sur le marché ont également indiqué qu’environ 1,1 million de recherches correspondaient aux permis de conduire canadiens, mais le nombre exact de victimes canadiennes reste inconnu.
IDScan.net a rendu public l’incident de sécurité le 4 septembre après avoir reçu des informations autour du 1er septembre indiquant que les données auraient pu être consultées sans autorisation. L’entreprise a ensuite déterminé qu’un tiers non autorisé avait pu accéder ou copier des informations clients stockées dans les comptes du cloud IDScan.net.
Les informations potentiellement compromises incluent les noms complets, les numéros de permis de conduire ou d’autres numéros d’identification délivrés par le gouvernement. La collection plus large annoncée en ligne contenait apparemment des images numériques de documents d’identité, bien que les autorités n’aient pas établi publiquement la portée complète des informations extraites de IDScan.net.
L’entreprise affirme avoir informé les personnes potentiellement affectées et offrir des services gratuits de surveillance de crédit et de protection d’identité. Le FBI a également reconnu avoir examiné les rapports concernant les documents d’identité volés.
L’enquête canadienne se concentrera désormais sur les mesures de sécurité d’IDScan.net et sa réponse à l’incident en vertu de la Loi sur la protection des renseignements personnels et les documents électroniques. Le commissaire à la protection de la vie privée n’a pas fourni de calendrier pour la conclusion de l’enquête, invoquant la nature active de l’affaire.