Dans un avis publié le 4 septembre puis mis à jour le 29 septembre 2026, IDScan.net indique qu'un tiers non autorisé a accédé à une partie de son environnement cloud entre le 4 avril et le 2 septembre. L'incident concerne la plateforme VeriScan; IDScan dit n'avoir identifié aucun autre produit ou service impliqué. L'entreprise indique avoir appris l'existence de l'incident autour du 1er septembre et poursuivre son enquête avec des spécialistes externes et les autorités.
Ce fait confirmé doit être séparé du chiffre spectaculaire relayé depuis le début de l'affaire. KrebsOnSecurity a décrit un service appelé Nexus qui proposait, selon ses opérateurs, plus de 153 millions de scans de permis de conduire américains et canadiens, ainsi que d'autres documents d'identité. IDScan n'a pas confirmé ce volume comme un nombre de victimes ou de documents effectivement copiés depuis ses systèmes.
Ce qu'IDScan a confirmé
L'avis officiel décrit un accès non autorisé à une partie de l'environnement cloud de VeriScan. Les données potentiellement concernées peuvent comprendre des noms complets, coordonnées, dates de naissance, numéros de permis de conduire, de passeport ou d'autres pièces d'identité gouvernementales. IDScan précise que toutes ces catégories ne concernaient pas nécessairement chaque personne et qu'elles dépendent des informations collectées, traitées ou conservées par chaque organisation cliente.
L'enquête est toujours en cours. L'avis ne donne ni le nombre de personnes ou de clients concernés, ni le chemin technique utilisé par le tiers. IDScan indique proposer gratuitement des services de surveillance du crédit et de protection contre le vol d'identité aux personnes potentiellement concernées.
Ce que signifie le chiffre de 153 millions
Le chiffre de plus de 153 millions provient du service Nexus décrit par KrebsOnSecurity. D'après cette enquête, Nexus revendiquait des scans de permis de conduire des États-Unis et du Canada, ainsi que plus de 10 millions de cartes d'identité, plus de 3 millions de documents de voyage ou d'identités internationales et au moins 579 000 cartes médicales. Ces nombres décrivent la collection annoncée par le service, pas un décompte officiel publié par IDScan.
KrebsOnSecurity explique avoir vérifié des échantillons, dont certains correspondaient à des moments où des personnes avaient présenté leur permis à un comptoir de location ou dans un commerce utilisant des processus de vérification d'identité. The Record, BleepingComputer et Tom's Hardware relient ensuite la notification IDScan à ces signalements. Le lien est donc sérieux et documenté, mais l'article doit conserver la nuance : IDScan confirme un incident cloud ; le volume de 153 millions reste une revendication observée et analysée par des sources externes.
Pourquoi des scans d'identité changent le risque
Un mot de passe peut être changé ; un permis de conduire, une photo d'identité ou un numéro gouvernemental suivent une personne beaucoup plus longtemps. L'avis d'IDScan énumère plusieurs catégories qui pourraient être concernées, sans confirmer lesquelles l'ont été pour chaque personne. Si les affirmations de Nexus sur les scans complets sont exactes, leur circulation créerait un risque durable de fraude : ouverture de comptes, contournement de contrôles d'âge, fausses vérifications ou hameçonnage très personnalisé.
Le risque ne se limite pas au crédit. Une personne qui reçoit un appel ou un message contenant son nom, son numéro de permis ou le souvenir exact d'un scan récent peut croire à tort que l'expéditeur est légitime. Les données d'identité servent alors à rendre crédible une deuxième étape : demander un code, un document supplémentaire, un paiement ou l'accès à un compte.
Les précautions utiles pour les particuliers
Si vous recevez une notification IDScan ou un message d'une entreprise qui a scanné votre pièce d'identité, vérifiez-le par un canal ouvert manuellement : site officiel, numéro publié dans la notification ou service client connu. Ne téléversez pas un permis ou un passeport vers un prétendu outil de recherche Nexus : vous transmettriez une nouvelle copie de votre pièce à un tiers sans garantie sur son identité ni sur son usage.
IDScan propose gratuitement une surveillance du crédit et une protection contre le vol d'identité. Aux États-Unis, son avis mentionne aussi la possibilité d'activer une alerte fraude ou un gel de crédit. Au Canada et dans d'autres pays, suivez les procédures locales équivalentes plutôt que de reprendre automatiquement les démarches américaines. Surveillez également les demandes de crédit, les comptes financiers et les sollicitations qui utilisent des détails exacts pour vous pousser à agir vite. Si un compte en ligne doit être sécurisé après un risque d'usurpation, le guide Soclyde pour créer des mots de passe forts et uniques explique comment éviter leur réutilisation.
Ce que les organisations doivent demander à leurs prestataires
Les entreprises qui font scanner des permis, passeports ou autres documents d'identité doivent obtenir des réponses tenant compte de leurs propres comptes clients : quels sites, quels flux, quelles dates, quels champs, quelles images et quelles durées de conservation sont concernés. Une réponse générale du fournisseur ne suffit pas lorsque les données sont stockées par client ou par tenant dans un service cloud.
Le point de contrôle principal est la minimisation. Si le besoin métier consiste à vérifier un âge, une présence ou une identité à un instant donné, la conservation d'images complètes doit être justifiée, limitée et auditée. Les contrats doivent exiger des preuves de suppression, des journaux exportables, une notification rapide en cas d'accès anormal et un canal clair pour les personnes qui ne savent pas quel prestataire a traité leur document.
Le lien avec Soclyde
Soclyde ne protège pas IDScan, Nexus ou les données déjà sorties d'un cloud tiers. Le lien est plus concret : cet incident rappelle que chaque prestataire devient un point de concentration lorsqu'il conserve des données ou des accès au nom d'une organisation. Une petite équipe doit savoir quels services détiennent des secrets, quelles intégrations utilisent des comptes dédiés et quels accès couper rapidement en cas d'alerte.
Soclyde aide à générer des secrets uniques, à les conserver dans un coffre chiffré local-first et à réduire la réutilisation de mots de passe entre fournisseurs, messageries et outils métier. Cela ne remplace pas la minimisation des documents d'identité, mais aide à limiter le risque qu'un compte soit repris avec un mot de passe réutilisé. Pour agir, consultez le guide du générateur de mots de passe sécurisé, utilisez le générateur de mots de passe ou contactez Soclyde.
À retenir
L'avis d'IDScan, mis à jour le 29 septembre 2026, établit qu'un tiers a accédé à une partie de l'environnement cloud VeriScan entre le 4 avril et le 2 septembre. Des coordonnées, dates de naissance et numéros de pièces d'identité peuvent être concernés, mais l'avis ne donne pas de nombre total de personnes touchées.
Le chiffre de 153 millions de permis de conduire reste une revendication de Nexus documentée par des sources externes, pas un décompte officiel d'IDScan. Pour les particuliers comme pour les organisations, les priorités sont de vérifier les notifications par des canaux sûrs, de limiter la collecte de pièces d'identité et d'exiger une conservation minimale. Pour revoir en parallèle les pratiques de comptes partagés, consultez la politique de mots de passe pour PME.
