Comment une base de données d’identification de 160 millions d’enregistrements s’est répandue sur le Dark Web
15 octobre 2026
Fin août 2026, un message est apparu sur le forum de cybercriminalité en langue russe Exploit offrant un accès persistant à une base de données exclusive de documents d’identité violés, qui auraient été extraits d’un fournisseur de vérification d’identité et de sa base de clients. En quelques jours, le même ensemble de données a été reconditionné et revendu sur au moins trois forums supplémentaires, une vitrine dédiée et un groupe de chaînes Telegram – bien après que la liste originale soit devenue silencieuse.
Les analystes de Illicit Trade FR ont suivi la diffusion de cet ensemble de données, connu sous le nom de l’outil créé par son vendeur d’origine pour y accéder : Nexus. Cet article passe en revue ce que nous avons trouvé et ce qu’il dit sur la façon dont les données d’identité volées circulent une fois qu’elles arrivent sur le dark web. Dans l’intérêt de protéger les personnes dont les documents personnels ont été exposés, ce message omet les noms, les images et les détails d’identification de toute personne référencée dans la fuite sous-jacente.
Comment ça a commencé
Le 30 août 2026, un compte relativement nouveau du forum Exploit se faisant appeler « databroker1 », enregistré quelques mois plus tôt, a publié une offre pour « notre base de données propriétaire et exclusive de documents d’identité violés ». Le message revendiquait un accès persistant et continu à une importante société de vérification d’identité et à ses clients, « parmi lesquels plusieurs sociétés Fortune-500 », avec de nouvelles données exfiltrées pendant « plus d’un an ».
La récolte annoncée : plus de 160 millions de permis de conduire et de cartes d’identité nord-américains, ainsi que plus de 10 millions de documents supplémentaires comprenant des pièces d’identité internationales, des documents de voyage, des cartes de séjour et des cartes médicales. Les enregistrements incluraient des données de codes-barres et, dans certains cas, des numérisations recto verso du document physique sous une lumière normale, UV et IR.
Pour gérer les ventes, databroker1 a déclaré avoir créé Nexus, une application Web permettant de parcourir et d’acheter des enregistrements individuels. L’inscription et la recherche étaient annoncées comme gratuites, avec une tarification par enregistrement, et l’accès était offert via une adresse oignon dédiée.
Pour prouver que les données étaient authentiques, le vendeur a montré un exemple d’enregistrement. Le document présenté a été confirmé de manière indépendante comme authentique par la personne à laquelle il appartenait, Brian Krebs, un chercheur en sécurité qui a écrit publiquement après avoir reçu une information selon laquelle sa propre pièce d’identité était utilisée comme échantillon de vente.
Une disparition rapide
La vitrine Nexus n’a pas duré longtemps. Trois jours après le message d’origine, un autre utilisateur du forum a signalé que « ce service n’est plus disponible ». D’autres membres ont émis l’hypothèse que l’opérateur avait eu peur et avait retiré la liste ; au moins un acheteur potentiel a affirmé avoir vu les données de première main et a néanmoins proposé de payer plusieurs milliers de dollars pour y accéder. Au moment où Illicit Trade FR a examiné la liste le 14 septembre, l’adresse oignon Nexus renvoyait une erreur de site invalide et la publication d’origine a ensuite été entièrement supprimée d’Exploit. Le profil « databroker1 », qui n’avait publié qu’un seul message, a également disparu.
D’où proviennent probablement les données
La fuite a été signalée publiquement pour la première fois par Brian Krebs, qui a déclaré qu’une source les avait alertés que leur propre pièce d’identité était utilisée comme preuve de l’authenticité des données. Leur enquête a identifié IDScan, un fournisseur de technologie de vérification d’identité, comme source probable.
Le 4 septembre 2026, IDScan a révélé avoir identifié un possible accès non autorisé aux données stockées dans son environnement cloud, avec des informations potentiellement affectées, notamment les noms complets, les numéros de permis de conduire et les numéros d’autres pièces d’identité émises par le gouvernement. L’entreprise a déclaré qu’elle coopérait avec les forces de l’ordre fédérales.
Les analystes de Illicit Trade FR n’ont pas confirmé de manière indépendante que les données proposées sur Exploit provenaient directement d’IDScan. Cependant, plusieurs des acteurs qui ont ensuite revendu l’ensemble de données ont explicitement nommé IDScan comme source dans leurs propres messages.
Les données s’étendent largement
Une fois la liste Nexus d’origine disparue, le même ensemble de données a refait surface dans d’autres coins du dark web, avec à chaque fois un nouveau vendeur et un prix différent.
5 septembre 2026 — BreachForums
Un compte utilisant l’alias ShinyHunters a annoncé l’ensemble de données, décrivant les types de documents et une liste des organisations concernées, et confirmant IDScan comme source. La liste faisait référence à un prix initialement demandé de 500 000 $, tombé ensuite à 300 000 $, et affirmait que le groupe « disposait de ces données depuis des années » – exprimant sa surprise que Nexus les revende de manière indépendante.
5 et 6 septembre 2026 — DarkForums
Des publications presque identiques sont apparues à partir de comptes DarkForums distincts, chacun réutilisant en grande partie la même formulation que la liste BreachForums mais proposant différents canaux de contact et des exemples de liens – l’un pointant vers une vitrine vendant le même ensemble de données pour 6 000 $, un autre demandant jusqu’à 90 000 $.
6-14 septembre 2026 — Télégramme
Plusieurs chaînes Telegram partageaient les mêmes prix, la même liste de victimes et les mêmes exemples de matériel, transférant parfois des publications entre les chaînes pour élargir leur portée. Une chaîne a ensuite été interdite pour violation des conditions d’utilisation de Telegram ; un autre a continué à faire circuler ses coordonnées, précisant qu’il n’accepterait que les paiements en crypto-monnaie.
Qui a dit qu’ils étaient concernés
Les acteurs menaçants revendant l’ensemble de données ont répertorié une série d’organisations qui, selon eux, étaient touchées en tant que clients du fournisseur de vérification d’identité, couvrant entre autres les secteurs de la vente au détail, de l’hôtellerie, de l’automobile, de la finance et des jeux. Illicit Trade FR n’a pas vérifié cette liste de manière indépendante. Elle reflète les affirmations des acteurs de la menace eux-mêmes. L’inclusion sur la liste d’un vendeur criminel ne constitue pas une preuve que les données d’une organisation ont réellement été compromises.
Pourquoi c’est important
Le cas Nexus est une illustration utile d’un schéma que Illicit Trade FR voit à plusieurs reprises : les fournisseurs de vérification d’identité et de KYC sont des cibles de grande valeur précisément parce qu’ils concentrent les deux choses que les voleurs d’identité veulent le plus : les analyses de documents et les données personnelles nécessaires à leur utilisation. Et une fois qu’un ensemble de données comme celui-ci atteint ne serait-ce qu’un seul forum du Dark Web, la suppression de la liste d’origine ne contribue pas à arrêter sa propagation. En deux semaines, les mêmes disques avaient été reconditionnés par au moins quatre vendeurs distincts sur des forums, une vitrine dédiée et Telegram, chacun les fixant et les commercialisant indépendamment. Même s’il ne peut être confirmé que ces acteurs ont effectivement eu accès aux données qu’ils réclamaient. Il est connu que des acteurs profitent de fuites de données très médiatisées pour arnaquer leurs collègues criminels.
Points clés à retenir : un seul fournisseur compromis peut exposer des données couvrant des centaines de clients en aval, et pas seulement le fournisseur lui-même. Les ensembles de données volés restent rarement chez un seul vendeur, en attendant une revente rapide, un changement de marque et une concurrence sur les prix une fois que les données font surface. Des infrastructures qui se chevauchent et des textes de liste copiés peuvent révéler des liens entre des personnages apparemment sans rapport avec le Dark Web. Et une surveillance continue est importante : la liste initiale a disparu en quelques jours, mais les données ont continué à circuler pendant des semaines.
Illicit Trade FR continue de surveiller les forums, les marchés et les plateformes de messagerie associés à cette activité pour détecter d’autres développements, y compris toute indication selon laquelle l’ensemble de données est distribué gratuitement ou utilisé dans des campagnes frauduleuses ultérieures.
