Le responsable canadien de la protection de la vie privée ouvre une enquête sur le piratage des permis de conduire

Le Commissariat à la protection de la vie privée du Canada, organisme indépendant dirigé par Philippe Dufresne, a ouvert une enquête suite à des informations faisant état d'une cyberattaque de grande ampleur survenue début septembre, qui aurait touché non seulement des Américains, mais aussi des Canadiens. Cette cyberattaque aurait visé les données personnelles de plus de 100 millions de personnes, notamment leurs permis de conduire. Le Commissariat à la protection de la vie privée (CPVP) a annoncé l'ouverture de cette enquête le 21 septembre, juste après que plusieurs médias canadiens eurent obtenu confirmation auprès du CPVP que celui-ci était « au courant » de l'incident et avait commencé à prendre contact avec l'entreprise concernée, IDScan.net.

Une ampleur sans précédent

Selon les médias canadiens, il pourrait s'agir de l'une des plus importantes, voire de la plus importante, violation de données de l'histoire du Canada. Le nombre total de Canadiens concernés étant inconnu, des dizaines de millions de pièces d'identité canadiennes pourraient être facilement disponibles à la vente en ligne. Zach Edwards, chercheur spécialisé dans les menaces au sein de la société de cybersécurité Infoblox, a déclaré à Reuters que cet incident était sans précédent par son ampleur. Le Commissariat à la protection de la vie privée menant l'enquête à la fois sur IDScan, l'entreprise piratée, et sur l'entreprise qui vend ces pièces d'identité, il espère déterminer avec précision le nombre de Canadiens touchés par cette fuite de données. Au cours de son enquête, Zach Edwards a découvert qu'il avait lui-même été victime de cette fuite de données.

Qu'est-ce qu'IDScan ?

IDScan est une plateforme en ligne utilisée par les entreprises pour vérifier l'identité de leurs utilisateurs. Des dizaines de grandes entreprises ont recours aux services d'IDScan, dont plusieurs disposant d'une importante base d'utilisateurs canadiens. FedEx, Target, GameStop et Hertz ont toutes utilisé les services d'IDScan, ce qui a entraîné la contamination de millions d'utilisateurs canadiens par cette fuite de données. Exiger une vérification d'identité est une tendance croissante chez un certain nombre d'entreprises. Les applications de rencontre comme Hinge et Tinder exigent toutes deux une vérification d'identité, tout comme un certain nombre de réseaux sociaux. Lorsque la vérification d'identité a été introduite pour la première fois au début des années 2020, de nombreux utilisateurs étaient, à juste titre, réticents à l'idée de transmettre leurs pièces d'identité officielles à un service hébergé dans le cloud, et ces craintes se sont désormais concrétisées pour plus de 150 millions de Nord-Américains.

Comment le CPVP mènera-t-il son enquête ?

Selon les déclarations du CPVP, celui-ci examinera de près certaines des mesures de protection mises en place par IDScan au moment de la fuite de données. Le CPVP remettra également en question la transparence d'IDScan et sa communication avec les personnes concernées. Selon certaines informations, les utilisateurs n'ont en réalité pas été informés de la fuite de données, mais l'ont découverte par le biais de rapports indépendants provenant des États-Unis. Afin de se conformer à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) du Canada, l'entreprise aurait dû alerter les Canadiens immédiatement après la fuite et leur expliquer les conséquences potentielles de celle-ci.

L'avenir de la vérification d'identité ?

Selon les experts en protection des données, depuis 2011, on a recensé près de 90 incidents distincts de piratage de sites de vérification d'identité visant à extraire les permis de conduire et autres pièces d'identité des internautes. Bien que la tendance en matière de violations de données ait ralenti depuis 2020, les incidents que nous observons aujourd'hui sont plus importants qu'auparavant. Sur ces près de 90 piratages, on a recensé plus de 40 cas où des documents sensibles, tels que des scans de pièces d'identité physiques, des selfies de vérification, des empreintes digitales ou des modèles biométriques, ont été récupérés et vendus en ligne. Dans le cas présent, le site Nexus a annoncé disposer de plus de 150 millions de pièces d'identité nord-américaines disponibles à la vente sur son site web.

Alors que les préoccupations en matière de vie privée et de sécurité ne cessent de croître, les experts estiment que nous pourrions assister à un renforcement de la législation visant à protéger les citoyens. Alors que des entreprises comme Meta et Snapchat font actuellement l'objet de poursuites judiciaires pour avoir illégalement collecté, utilisé et vendu l'image de leurs utilisateurs, les internautes n'ont jamais été aussi sensibilisés aux fuites de données les concernant. La LPRPDE est actuellement l'une des législations les plus strictes en matière de protection de la vie privée au sein du G7, mais le Commissariat à la protection de la vie privée du Canada (CPVP) ne sait pas encore si le comportement d'IDScans constitue une violation de celle-ci.

Que pouvez-vous faire ?

Si vous avez utilisé un service de vérification d'identité auprès de l'une des entreprises mentionnées ci-dessus, vous pourriez être concerné par cette fuite de données. Il existe plusieurs moyens de vérifier si vous êtes victime de cette cyberattaque. Vous pouvez contacter IDScan.net si vous avez utilisé ses services. Vous pouvez également contacter votre banque, bloquer votre crédit et déposer une réclamation pour fraude auprès de celle-ci. Si vous avez remarqué des transactions suspectes sur votre carte de crédit, vous devez contacter votre banque immédiatement. Vous pouvez également contacter votre député local pour lui demander de prendre des mesures en adoptant une nouvelle législation renforçant les lois canadiennes sur la protection de la vie privée concernant les sites de vérification d'identité.