Votre Photo Est Restée Un An Sur Leur Serveur

Un An D'Accès Silencieux, Puis Une Confirmation

IDScan, un service de vérification d'identité basé en Louisiane utilisé par des lieux de divertissement et des dispensaires de cannabis pour vérifier les documents de leurs clients, a confirmé le 10 septembre que des pirates avaient volé des données d'identité dans son stockage cloud. Le journaliste spécialisé en sécurité Brian Krebs avait déjà signalé l'incident sous-jacent le 2 septembre, après qu'une plateforme du dark web a commencé à proposer un accès consultable à une base de données que les vendeurs appelaient Nexus, plus de 11,5 millions de pages de résultats à raison d'une quinzaine d'entrées par page. Les attaquants ont affirmé avoir exfiltré en continu de nouvelles données d'IDScan pendant plus d'un an avant que l'annonce n'apparaisse, ce qui signifie que l'exposition n'a pas été un incident isolé mais une longue opération de collecte non détectée.

Le bureau du FBI à La Nouvelle-Orléans a ouvert une enquête formelle le 1er septembre, et le Pentagone a confirmé avoir connaissance de la faille présumée après que le dossier du secrétaire américain à la Défense Pete Hegseth lui-même a été retrouvé parmi les fichiers compromis, vérifié indépendamment par un chercheur en sécurité. La déclaration publique d'IDScan n'a guère offert plus qu'une reconnaissance des faits, indiquant à un journaliste qu'elle ne pouvait pas encore partager de détails supplémentaires pendant que sa propre enquête se poursuivait. L'accès complet à la base de données divulguée aurait nécessité un paiement, la structure d'une vente d'extorsion plutôt qu'une simple fuite.

Ce Qui A Réellement Été Dérobé

Les données volées se répartissent par type de document, et l'ampleur dépasse largement toute faille comparable de documents d'identité signalée cette année. Les permis de conduire constituent l'écrasante majorité, mais la collecte s'étend à plusieurs autres catégories de documents sur lesquelles les clients d'IDScan s'appuient pour les vérifications d'âge et d'identité.

L'Ontario à lui seul représentait environ 473 000 des permis canadiens de cet ensemble, un rappel que la faille d'un fournisseur basé aux États-Unis ne s'arrête pas à la frontière que traversent ses clients. Chaque enregistrement comporte un nom complet et un numéro de document officiel, et dans la plupart des cas la page scannée avec la photo elle-même, exactement la combinaison dont les voleurs d'identité ont besoin pour ouvrir des comptes ou passer des vérifications automatisées ailleurs.

La Faille Que Votre Propre Contrat Fournisseur Devrait Combler

Une entreprise de l'UE ou du Royaume-Uni qui externalise la vérification de l'âge ou de l'identité, de plus en plus une obligation légale plutôt qu'une commodité en vertu de règles comme les dispositions de vérification d'âge du Digital Services Act, remet à un fournisseur d'un pays tiers une copie des documents officiels de ses clients, puis n'a presque aucune visibilité sur la durée pendant laquelle ce fournisseur garde le silence sur une faille avant de dire quoi que ce soit. Le RGPD accorde à un responsable de traitement 72 heures à partir du moment où il a connaissance d'une faille pour notifier son autorité de contrôle, et NIS2 n'accorde à une entité essentielle ou importante que 24 heures pour une alerte précoce. Aucun de ces délais n'atteint IDScan directement, car le compteur ne démarre que lorsque le responsable de traitement côté UE en a lui-même connaissance, et un sous-traitant américain n'a aucune obligation légale équivalente d'informer rapidement ses clients, ni même de les informer du tout, au-delà de ce que prévoit l'accord de traitement des données sous-jacent.

Cette faille est la partie actionnable de cette histoire. Une entreprise qui dépend d'un fournisseur de vérification d'identité devrait déjà savoir précisément quel délai de notification son propre accord de traitement des données fixe par écrit pour ce fournisseur, plutôt que de supposer qu'une entreprise américaine communiquera la nouvelle de sa propre initiative dès que quelque chose tourne mal. Le calendrier même d'IDScan, un an d'accès silencieux allégué suivi de neuf jours entre l'annonce publique sur le dark web et la confirmation de l'entreprise, est l'argument pour traiter cette clause comme structurante plutôt que comme une formalité, et pour demander maintenant, pas après le prochain titre, exactement à quelle vitesse un fournisseur est contractuellement tenu d'avertir.

Servola Journal

Nous faisons cela pour tous ceux qui essaient de suivre ce que la technologie fait à nos vies. Les personnes qui la construisent, et les personnes à qui cela arrive. Le Servola Journal existe pour que ce que nous apprenons appartienne à tous.

Personne ne nous paie pour cela. Pas de publicité, pas de mur payant, gratuit pour tous. Nous croyons simplement que comprendre ce qui nous arrive à tous ne devrait pas dépendre de qui peut se permettre de payer pour cela.

Si cela vous a apporté quelque chose aujourd'hui, dites-nous de continuer. Suivez-nous, laissez un like ou écrivez un commentaire positif. Nous les lisons tous, et ce sont eux qui nous font avancer.

À lire ensuite: Une faille que votre registre DORA n'explique pas  |  Violation CEVA Logistics touche les acheteurs Steam