En bref : l’entreprise américaine IDScan, spécialisée dans la vérification de documents d’identité, a confirmé une fuite massive. Plus de 150 millions de scans de permis de conduire, ainsi que des cartes d’identité et d’autres documents, auraient été exfiltrés de son cloud puis proposés à la vente. La principale menace pour les victimes : l’usurpation d’identité.

Ce qui s’est passé

Le prestataire IDScan, société basée en Louisiane et utilisée par de nombreux clients professionnels pour vérifier les papiers de leurs usagers, a reconnu début septembre 2026 qu’une partie des données stockées sur sa plateforme avait été consultée sans autorisation. Selon l’entreprise, l’incident aurait été découvert autour du 1er septembre, et un avis de sécurité aurait suivi quelques jours plus tard.

L’affaire a éclaté après qu’un acteur malveillant a mis en avant, sur une plateforme du dark web, un lot présenté comme contenant plus de 153 millions de documents d’identité. Outre les permis de conduire, l’ensemble comprendrait des cartes d’identité, des documents de voyage et d’autres pièces. L’auteur affirmerait exfiltrer des données depuis plus d’un an. Aux États-Unis, une enquête aurait été ouverte par les autorités fédérales.

Quelles données ont fuité ?

C’est là que réside la gravité de l’affaire. Les informations concernées iraient bien au-delà d’une simple adresse e-mail. Seraient exposés : les noms complets, les numéros de permis ou de pièce d’identité, et surtout des images en haute définition des documents officiels, avec potentiellement la date de naissance, l’adresse et la photo.

Or, comme le résument les experts en cybersécurité, on peut changer un mot de passe, mais pas son visage, sa date de naissance ou son numéro de permis. Ces données, une fois dans la nature, le restent durablement, ce qui rend l’incident particulièrement sensible sur le long terme.

Les risques : l’usurpation d’identité en tête

Le principal danger est l’usurpation d’identité. Avec des copies de documents officiels, des fraudeurs peuvent tenter d’ouvrir des comptes, de souscrire des crédits ou des abonnements au nom des victimes, ou encore de passer des contrôles d’identité peu rigoureux.

Ces données alimentent aussi des arnaques ciblées très crédibles : hameçonnage (phishing) personnalisé, faux appels se réclamant d’une banque ou d’une administration, tentatives de récupération de comptes. Plus les informations détenues par l’escroc sont précises, plus l’arnaque paraît légitime, et plus elle est efficace.

Suis-je concerné en France ?

Il faut garder la tête froide. Ce prestataire étant américain, l’essentiel des documents concernés seraient des pièces nord-américaines. Un internaute français a donc, a priori, peu de risques d’être directement touché par cette fuite précise.

Pour autant, l’affaire est un rappel utile : les services de vérification d’identité en ligne se multiplient (locations, plateformes, contrôles d’âge, etc.), et chacun d’eux constitue une cible potentielle. Les bons réflexes présentés ci-dessous valent donc pour tout le monde, quelle que soit la fuite du moment.

Comment se protéger concrètement

Plusieurs gestes simples permettent de limiter les risques :

• Surveillez vos comptes bancaires et vos relevés, et soyez attentif à toute demande de crédit ou tout courrier inhabituel.
• Méfiez-vous du phishing : ne cliquez pas sur les liens douteux, ne communiquez jamais vos codes, et vérifiez toujours l’identité de votre interlocuteur en le rappelant sur un numéro officiel.
• Limitez l’envoi de vos papiers : ne transmettez une copie de pièce d’identité qu’en cas de réelle nécessité, à un destinataire dont vous avez confirmé la légitimité.
• Interrogez les services qui vous demandent vos documents : stockent-ils les images ? pour combien de temps ? existe-t-il une alternative respectueuse de la vie privée ?
• Activez la double authentification sur vos comptes sensibles, pour compliquer toute prise de contrôle.

En France, en cas d’usurpation avérée, vous pouvez porter plainte, signaler l’incident sur la plateforme publique cybermalveillance.gouv.fr et, si une entreprise a manqué à ses obligations, saisir la CNIL. Conservez toute preuve utile (courriels, captures) pour appuyer vos démarches.

Ce qu’il faut retenir

• Le prestataire IDScan a confirmé une fuite portant sur plus de 150 millions de scans de permis de conduire et d’autres documents d’identité.
• Les données exposées (nom, numéro de pièce, images HD) ne peuvent pas être « réinitialisées » : le risque principal est l’usurpation d’identité.
• Les internautes français seraient peu concernés directement, la société étant américaine, mais l’affaire reste un rappel de vigilance.
• Réflexes clés : surveiller ses comptes, se méfier du phishing, limiter l’envoi de ses papiers et activer la double authentification.
• En cas de problème en France : porter plainte, signaler sur cybermalveillance.gouv.fr et, si besoin, saisir la CNIL.