ANALYSES
IDScan, 150 millions de permis de conduire : le prestataire de vérification d'identité comme point de cumul
Le 10 septembre 2026, IDScan, prestataire de vérification de pièces d'identité pour des établissements, des casinos et des dispensaires, a confirmé un vol de données dans ses systèmes cloud, tandis qu'un site du dark web vendait plus de 153 millions de permis de conduire. L'analyse : le prestataire invisible, des documents qui ne se changent pas, la responsabilité envers les clients et des questions pour les renouvellements.
Archives : reconstitution rédigée en novembre 2026
Thème du mois de septembre 2026 · par cybercoverinsurance
Le 10 septembre 2026, IDScan.net, société de Louisiane qui vérifie les pièces d'identité pour le compte de lieux de divertissement, de casinos et de dispensaires de cannabis, a confirmé le vol de données dans ses systèmes cloud. Quelques jours plus tôt, un site du dark web appelé Nexus avait mis en vente plus de 153 millions de permis de conduire américains et canadiens, avec des images des documents, que le vendeur attribuait à IDScan. Entre le 2 et le 4 septembre, neuf actions collectives avaient déjà été déposées contre la société.
Pour qui porte le risque cyber, le cas montre un prestataire peu visible qui concentre les données de millions de personnes pour le compte de nombreux clients. Le dommage ne reste pas chez le prestataire : chaque client qui a scanné un document peut faire face à des obligations de notification et à des actions en justice.
Ce que l'on sait
L'entreprise. IDScan propose la vérification de pièces d'identité à des clients professionnels, des lieux de divertissement aux dispensaires de cannabis. Son site revendique plus de 150 millions de permis de conduire traités (TechCrunch).
La découverte. Vers le 1er septembre, IDScan a reçu des informations sur une revendication d'attaque, le jour même où le journaliste Brian Krebs a publié l'information après avoir trouvé sa propre fiche sur le site de vente. Le 10 septembre, la société a confirmé dans un avis que des données avaient été dérobées dans ses comptes cloud, dont des noms, des numéros de permis et des numéros d'autres documents comme les passeports. Le FBI a ouvert une enquête et le Pentagone a indiqué avoir connaissance de la violation (TechCrunch).
Les données en vente. Selon les informations reprises par Malwarebytes, Nexus proposait plus de 153 millions de permis de conduire, 10 millions de cartes d'identité, 3 millions de documents de voyage et 579 000 cartes de santé, y compris des cartes de dispensaires de cannabis. Certaines fiches comprenaient les images recto et verso des documents et des scans infrarouges et ultraviolets (Malwarebytes). Le vendeur a affirmé avoir siphonné des données pendant plus d'un an.
Ce que l'on ne sait pas. IDScan n'a communiqué ni le nombre de personnes concernées, ni la manière dont l'accès a été obtenu, ni sa durée. La société n'a pas confirmé que toutes les données de Nexus proviennent de ses systèmes. Dans son avis, elle a écrit que « l'accès complet aux informations nécessitait un paiement », sans préciser s'il s'agissait d'une demande de rançon (TechCrunch).
Le prestataire invisible
Un intermédiaire, de nombreux clients. Qui entre dans un établissement ou loue une voiture ne choisit pas IDScan et ignore souvent que son document y transite. Pour un portefeuille, le prestataire de vérification est un point de cumul caché dans le processus d'accueil des clients.
Le client parti. Un porte-parole de Caesars Entertainment a déclaré que l'entreprise n'utilisait plus IDScan depuis février 2025, alors qu'IDScan la citait encore parmi ses clients (Zyphe). Les données des clients d'un prestataire peuvent rester dans ses systèmes après la fin du contrat.
La conservation. Vérifier un document prend quelques secondes, mais les données ont été conservées, à en juger par les fiches en vente, avec des images complètes. Chaque fiche conservée plus longtemps que nécessaire augmente le nombre de personnes à prévenir.
Pièces d'identité, dommages durables
Des données qui ne se changent pas. Un mot de passe se change ; un permis de conduire ou un passeport non, ou seulement au prix de coûts et de délais. Les images recto et verso avec les scans de sécurité servent à fabriquer de faux documents et à franchir d'autres contrôles d'identité. Le préjudice pour les personnes dure des années.
Des coûts de notification à grande échelle. Avec plus de 150 millions de fiches revendiquées, même un coût minimal par personne produit des montants très élevés pour la notification, la surveillance du crédit et les services d'assistance. Les lois des États américains sur les violations de données traitent les numéros de permis comme des données personnelles qui déclenchent l'obligation de notification.
Des actions collectives en quelques jours. Neuf actions collectives déposées en trois jours devant le tribunal fédéral du district est de la Louisiane (Zyphe). La responsabilité arrive avant même que la violation soit confirmée : pour la police du prestataire, les frais de défense commencent tout de suite.
La responsabilité envers les clients
Les clients du prestataire. Établissements, casinos et dispensaires ont collecté les documents de leurs propres clients. Selon le droit applicable, l'obligation de notification peut leur incomber en tant que responsables du traitement, même si la violation a eu lieu chez IDScan. Pour l'assuré, la couverture d'une violation de données chez un tiers devient décisive.
Le recours contre le prestataire. Les clients d'IDScan peuvent chercher à récupérer les coûts de notification auprès du prestataire. Si les réclamations de nombreux clients et de millions de personnes arrivent en même temps, les plafonds de la police du prestataire s'épuisent vite et le recours pour l'assureur du client devient incertain.
La donnée de santé. Les 579 000 cartes de santé, y compris celles pour le cannabis thérapeutique, sont des données de santé (Malwarebytes). Là où s'appliquent des règles sur les données de santé, les obligations et les sanctions sont plus lourdes.
Ce qu'il faut apporter aux renouvellements
Impact pour les assureursÉlevé
Des données de pièces d'identité de plus de 150 millions de personnes, selon le vendeur, ont été dérobées à IDScan, prestataire de vérification d'identité pour de nombreuses entreprises, avec neuf actions collectives en quelques jours.
Côté portefeuille, le cas IDScan suggère d'identifier les assurés qui recourent à des prestataires de vérification d'identité, surtout dans le divertissement, les casinos et la location, et de traiter ces prestataires comme des points de cumul : un incident chez eux produit des notifications et des actions en justice pour de nombreux assurés à la fois.