Le FBI enquête sur un service du dark web qui prétendait avoir accès à 153 millions de dossiers de permis de conduire. La collection, proposée sous le nom de Nexus, couvrait des individus des États-Unis et du Canada, et certaines entrées portaient des étiquettes « CDL » ou « ECDL ». Les chercheurs avertissent que des données d'identification volées de ce type pourraient compliquer la vérification des conducteurs tout au long de la chaîne logistique, un domaine où les entrepôts et les centres de distribution luttent déjà contre les enlèvements fictifs et la fraude d'identité.

« Le FBI peut confirmer qu'il examine l'incident », a déclaré le FBI de La Nouvelle-Orléans à FreightWaves. « En raison du caractère en cours de l'enquête, nous declines tout commentaire supplémentaire. » Les autorités n'ont identifié ni entreprise de transport ni conducteur professionnel concerné, et aucune preuve ne relie actuellement ces dossiers au vol de marchandises.

KrebsOnSecurity a rapporté en premier la connexion apparente impliquant le fournisseur d'identité louisianais IDScan.net. L'entreprise n'a confirmé aucun accès non autorisé à ses systèmes. Reuters n'a pas non plus pu établir de manière indépendante l'origine de la collection, et les enquêteurs fédéraux n'ont publié aucun détail supplémentaire.

IDScan.net commercialise l'authentification CDL auprès des entreprises de transport. Sa page logistique affiche FedEx et Tractor Supply Co. sans expliquer leur utilisation actuelle de la plateforme. Une étude de cas de l'entreprise décrit un distributeur de produits frais du Nord-Est non nommé utilisant la plateforme de vérification d'identité VeriScan d'IDScan dans un entrepôt. Les clients cibles de l'entreprise incluent les centres de distribution, les ports, les courtiers en fret, les 3PL et les transporteurs routiers.

FreightWaves avait précédement examiné les avertissements d'IDScan sur les faux CDL et les enlèvements fictifs. La directrice des opérations Jillian Kossman décrivait des criminels utilisant de fausses identités pour se faire passer pour des conducteurs légitimes, notant que de nombreux permis frauduleux semblent convaincants à l'inspection visuelle.

Nexus revendiquait un accès continu

Nexus est apparu le 31 août via une annonce sur le forum russe de cybercriminalité Exploit. L'opérateur promouvait plus de 160 millions de dossiers de permis et de cartes d'identité nord-américains, ainsi que 10 millions de documents supplémentaires comprenant des titres de voyage, des cartes de résidence et des dossiers médicaux. L'annonce affirmait qu'environ 500 000 ajouts frais arrivaient chaque jour.

L'acteur de la menace revendiquait également un accès persistant à une grande société de vérification d'identité et à ses clients, et déclarait que l'opération collectait continuellement des documents depuis plus d'un an. Ces déclarations restent des affirmations du vendeur et non des conclusions d'enquête confirmées, et IDScan.net n'a identifié aucun client ou plateforme compromis.

Zach Edwards, chercheur en menaces chez Infoblox, a examiné Nexus avant la disparition du service. Il y a trouvé son propre permis — obtenu lors d'un récent voyage à Las Vegas pour une conférence de cybersécurité. D'autres entrées portaient des dates de soumission réparties sur plusieurs jours, indiquant que des documents récemment obtenus faisaient partie du butin.

Brian Krebs a séparément observé le nombre de permis affiché augmenter de près de 400 000 en une seule journée. En cherchant des noms sans rapport, il a trouvé des étiquettes CDL et ECDL. « Il y en avait pas mal dans les résultats en cherchant des choses au hasard », a déclaré Krebs à FreightWaves. Ces fichiers ne présentaient aucune différence avec les autres entrées de permis.

Certains États utilisent ECDL pour désigner un permis de conduire commercial renforcé, mais personne n'a confirmé la signification de ces désignations au sein de Nexus. Krebs n'a trouvé aucun scan directement lié à des installations de fret ou à des enlèvements commerciaux ; la base de données ne contenait ni noms d'entrepôts, ni historiques d'expédition, ni détails de transactions.

Nexus est passé hors ligne peu après la publication des conclusions de Krebs, sa page de connexion affichant un message indiquant que le service n'était plus disponible. Aucune preuve publique n'indique que les forces de l'ordre ont provoqué cette disparition, et les enquêteurs n'ont pas confirmé si des copies des données existent ailleurs.

Les identités volées pourraient affaiblir les contrôles d'enlèvement

« Le fait que cet acteur de la menace ait potentiellement acquis des permis de conduire commerciaux relève les enjeux pour les entreprises de fret », a écrit Edwards. Les groupes criminels investissent déjà des efforts considérables pour paraître légitimes lors de schémas de détournement de marchandises, et des documents d'identité authentiques pourraient rendre ces tentatives d'usurpation plus difficiles à détecter. Les enquêteurs n'ont relié aucun dossier de Nexus à une telle activité.

La préoccupation est amplifiée par le fonctionnement habituel des opérations de fret : un CDL valide sert souvent à la fois d'identification et d'autorisation pour libérer des marchandises de grande valeur, de sorte qu'un seul scan réussi d'un document d'apparence authentique pourrait livrer une expédition à un imposteur, à moins que quelqu'un vérifie séparément la personne qui le présente.

De nombreux fichiers disponibles comprenaient reportedly des photographies des deux faces de chaque carte, et certaines entrées contenaient des données de code-barres, des images ultraviolettes et des captures infrarouges. Des criminels pourraient utiliser des documents complets pour usurper l'identité de victimes lors de contrôles d'identité, et Edwards a averti que quelqu'un pourrait imprimer des permis frauduleux à partir d'informations authentiques.

« Les documents volés peuvent absolument vaincre les systèmes KYC », a écrit Edwards. Les scans numériques seuls ne suffisent peut-être plus à garantir une certitude suffisante lors de l'embauche ou de la vérification à l'enlèvement. Il a recommandé de confirmer que chaque personne correspond à l'identité présentée, et les installations de fret pourraient également exiger des documents physiques avant de libérer des marchandises.

Merul Dhiman, qui développe des technologies de vérification d'identité pour FreightCheck, qui sert des entreprises de transport, a identifié une préoccupation plus large pour les opérations de fret. « Un CDL est un jeton d'autorisation, pas seulement une pièce d'identité », a écrit Dhiman. Un document authentique peut passer la validation sans confirmer que la personne qui le présente est liée à l'expédition.

« Le système a confirmé le document », a écrit Dhiman. « Il n'a jamais confirmé qui le détenait. » Il a recommandé d'associer une personne en vie à l'identité approuvée lors de l'enlèvement — une étape qui relie le document, le conducteur et la cargaison assignée avant la libération.

La firme de relations publiques d'IDScan.net a accusé réception de la demande de FreightWaves et transmis les questions aux représentants de l'entreprise, mais aucune réponse substantielle n'est parvenue avant la publication. Reuters n'a pas non plus pu établir de manière indépendante la source rapportée.

L'enquête du FBI est toujours en cours et d'importantes questions entourent encore l'incident. Les enquêteurs n'ont pas vérifié les totaux annoncés ni identifié de système compromis. Personne n'a confirmé combien de permis commerciaux figuraient dans Nexus, et les autorités n'ont trouvé aucune fraude sur le fret en résultant. Les points à surveiller sont désormais de savoir si les enquêteurs confirment l'origine des données, si des copies de la collection réapparaissent, et si les transporteurs et les entrepôts ajustent leurs pratiques de vérification à l'enlèvement en réponse. La formation CFCO souligne qu'une vérification au niveau humain doit avoir lieu avant que le fret ne quitte le quai : un CDL authentique valide le document, et non la personne qui le détient, et les équipes doivent relier cette personne au transporteur approuvé et à l'expédition assignée avant la libération.