Ouverture d’une enquête sur le piratage des permis de conduire au Canada

« Le commissaire à la protection de la vie privée du Canada, Philippe Dufresne, a ouvert une enquête sur une fuite de données chez IDScan.net à la suite d’informations selon lesquelles un tiers non autorisé aurait accédé à la base de données de l’entreprise et volé des informations personnelles, notamment des scans numériques de permis de conduire et d’autres types de pièces d’identité »,

Communiqué du CPVP

Selon les médias canadiens, il pourrait s’agir de l’une des plus importantes, voire de la plus importante, fuites de données de l’histoire du Canada. Le nombre total de Canadiens concernés étant inconnu, des dizaines de millions d’identifiants canadiens pourraient être facilement disponibles à la vente en ligne. Zach Edwards, chercheur spécialisé dans les menaces au sein de la société de cybersécurité Infoblox, a déclaré à Reuters que cet incident était sans précédent par son ampleur. Le Commissariat à la protection de la vie privée (CPVP) menant actuellement une enquête à la fois sur IDScan, la société piratée, et sur l’entreprise qui vend ces identifiants, il espère déterminer avec précision le nombre de Canadiens touchés par cette fuite de données. Au cours de son enquête, Zach Edwards a découvert qu’il figurait lui-même parmi les victimes de cette fuite.

On n’a jamais connu de fuite de données concernant les permis de conduire d’une telle ampleur ; cela signifie que cette attaque a fait peser de réels risques pour la sécurité nationale de personnalités de premier plan.

Zach Edwards, d’InfoBox

IDScan est une plateforme en ligne utilisée par les entreprises pour vérifier l’identité de leurs utilisateurs. Des dizaines de grandes entreprises ont recours aux services d’IDScan, dont plusieurs qui comptent une importante base d’utilisateurs canadiens. FedEx, Target, GameStop et Hertz ont toutes utilisé les services d’IDScan, ce qui a entraîné la violation des données de millions d’utilisateurs canadiens. Exiger une vérification d’identité est une tendance qui se généralise chez un certain nombre d’entreprises. Les applications de rencontre comme Hinge et Tinder exigent toutes deux une vérification d’identité, tout comme un certain nombre de réseaux sociaux. Lorsque la vérification d’identité a été introduite au début des années 2020, de nombreux utilisateurs étaient, à juste titre, réticents à l’idée de transmettre leur pièce d’identité officielle à un service hébergé dans le cloud, et ces craintes se sont désormais concrétisées pour plus de 150 millions de Nord-Américains.

Selon les déclarations de l’OPC, celle-ci examinera de près certaines des mesures de sécurité mises en place par IDScan au moment de la violation. Le CPVP remettra également en question la transparence d’IDScan et sa communication avec les personnes concernées. Selon certaines informations, les utilisateurs n’auraient en effet pas été informés de la fuite de données, mais l’auraient découverte par le biais de rapports indépendants provenant des États-Unis. Afin de se conformer à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) du Canada, l’entreprise aurait dû alerter les Canadiens immédiatement après la fuite et leur expliquer les conséquences potentielles de celle-ci.

L’enquête portera sur les mesures de sécurité mises en place par IDScan.net au moment de la violation, ainsi que sur le caractère adéquat des notifications adressées aux personnes concernées, afin de déterminer si l’entreprise s’est conformée à la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), la loi fédérale canadienne régissant la protection de la vie privée dans le secteur privé.

Déclaration du CPVP

Selon les experts en protection des données, depuis 2011, on a recensé près de 90 incidents distincts de piratage de sites de vérification d’identité visant à extraire les permis de conduire et autres pièces d’identité des internautes. Bien que la tendance en matière de fuites de données ait ralenti depuis 2020, les incidents que nous observons aujourd’hui sont plus importants qu’auparavant. Sur ces près de 90 piratages, on a recensé plus de 40 cas où des documents sensibles, tels que des scans de pièces d’identité physiques, des selfies de vérification, des empreintes digitales ou des modèles biométriques, ont été récupérés et vendus en ligne. Dans le cas présent, le site Nexus a annoncé disposer de plus de 150 millions de documents d’identité nord-américains disponibles à la vente sur son site web.

Alors que les préoccupations en matière de vie privée et de sécurité ne cessent de s’intensifier, les experts estiment que nous pourrions assister à un renforcement de la législation visant à protéger les citoyens. Alors que des entreprises telles que Meta et Snapchat font actuellement l’objet de poursuites judiciaires pour avoir illégalement collecté, utilisé et vendu l’image de leurs utilisateurs, les internautes n’ont jamais été aussi sensibilisés aux fuites de données les concernant. La LPRPDE est actuellement l’une des législations les plus strictes en matière de protection de la vie privée au sein du G7, mais le Commissariat à la protection de la vie privée du Canada (CPVP) ne sait pas encore si le comportement d’IDScans constitue une violation de celle-ci.

Si vous avez eu recours à un service de vérification d’identité auprès de l’une des entreprises mentionnées ci-dessus, vous pourriez être concerné par cette fuite de données. Il existe plusieurs moyens de vérifier si vous êtes victime de cette cyberattaque. Vous pouvez contacter IDScan.net si vous avez utilisé ses services. Vous pouvez également contacter votre banque, bloquer votre crédit et déposer une réclamation pour fraude auprès de celle-ci. Si vous avez remarqué des mouvements suspects sur votre carte de crédit, vous devez contacter votre banque immédiatement. Vous pouvez également contacter votre député local pour lui demander de prendre des mesures en adoptant une nouvelle législation renforçant les lois canadiennes sur la protection de la vie privée concernant les sites de vérification d’identité.