Un service du dark web est réputé proposer à la vente plus de 153 millions de dossiers de permis de conduire américains et canadiens, et le FBI enquête sur une violation de données apparemment impliquant le fournisseur de vérification d'identité IDScan.net. Il s'agit encore d'un cas où certaines des mécanismes censés protéger le public américain sont utilisés pour lui nuire. Le problème est clair : les processus antifraude actuels qui exigent l'identification et la vérification des clients favorisent les activités frauduleuses en remettant aux criminels vos informations sensibles sur un plateau d'argent.
Les cyberattaques ciblant les informations personnelles identifiables (PII) sont répandues depuis un certain temps et ne font que s’aggraver. En 2017, Equifax — l’une des plus grandes agences de notation de crédit aux États-Unis — a subi une cyberattaque qui a entraîné la compromission des informations personnelles sensibles de près de 148 millions d’Américains. Près de 45 % des Américains ont vu leurs données volées. Le Département de la Justice a allégué dans un acte d’accusation de 2020 que l’Armée populaire de libération chinoise était à l’origine de la faille, mais cela n’était qu’un pansement face au problème sous-jacent de plus en plus répandu.
Laz Pieper est directeur de la recherche à Coin Center, qui défend le droit des individus à construire, utiliser et assembler des réseaux pair-à-pair libres et ouverts, ainsi que le droit de le faire de manière privée.
La plupart des personnes n’ont probablement jamais entendu parler d’IDScan, mais ont déjà remis une carte d’identité à des entreprises utilisant ses technologies et services. Comme son nom l’indique, IDScan se spécialise dans la vérification d’identité et propose du matériel et des logiciels permettant de scanner, d’extraire et d’authentifier les pièces d’identité pour des agences de location de voitures, des banques, des hôtels, des casinos, des dispensaries de cannabis, des détaillants et d’autres entreprises. Ses systèmes peuvent capturer des images recto et verso, extraire les informations personnelles, comparer la photographie de la pièce d’identité avec un autoportrait, et transmettre ou stocker les données résultantes dans un portail cloud pour que les entreprises puissent y accéder après l’authentification.
Malgré toutes les mesures de cybersécurité, son modèle économique a toujours été vulnérable aux attaques. Les données sont l'une des ressources les plus précieuses du XXIe siècle. Les gouvernements et les entreprises ont conçu des systèmes pour acquérir autant de données que possible auprès des citoyens et des consommateurs, ouvrant ainsi la porte aux cybercriminels et aux adversaires étrangers pour participer à la ruée vers l'or moderne.
Les données les plus importantes sont bien sûr les RPI, composées de détails hautement sensibles, notamment le nom et l'adresse d'une personne, ainsi que son identité délivrée par le gouvernement, comme un permis de conduire ou un passeport. Pour accéder à un bon montant de services aux États-Unis, les Américains doivent s'identifier et les fournisseurs de services doivent vérifier qu'ils sont bien qui ils prétendent être. Cette exigence peut être à la fois réglementaire et commerciale : le gouvernement souhaite prévenir la fraude et les activités illicites, mais les entreprises aussi. Malheureusement, la manière de procéder a fait peu pour prévenir la fraude et les activités illicites, mais beaucoup pour les encourager.
Les institutions financières, telles que les banques, en offrent le meilleur exemple. Les institutions financières sont tenues, conformément à la Bank Secrecy Act (BSA) et à ses réglementations, de collecter et de conserver des enregistrements d'informations à caractère personnel lors de l'onboarding de nouveaux clients afin de lutter contre le financement illicite et la fraude. Ces informations sensibles et précieuses sont souvent stockées dans une base de données centrale, appelée « honeypot », ce qui en fait une cible attrayante pour les pirates. Une fois volées, les informations à caractère personnel peuvent être utilisées pour ouvrir ou compromettre des comptes, effectuer des transactions frauduleuses et blanchir de l'argent au nom d'une personne innocente.
Comment ces mesures « préventives » ont-elles fonctionné pour le système financier américain et mondial ? La base de données des réclamations et rapports des consommateurs de la Commission fédérale du commerce a reçu 6,47 million de rapports concernant la fraude, le vol d’identité et d’autres problèmes des consommateurs en 2024, contre environ 860 000 en 2004. Et le financement illicite est rampant : il a été estimé que les activités financières illicites mondiales ont atteint 4,4 billions de dollars l’année dernière.
Les institutions financières ont de plus en plus adopté diverses méthodes de vérification des clients pour empêcher les criminels de contourner leurs points de contrôle anti-fraude — même en obtenant les informations personnelles d'un citoyen respectueux de la loi — mais ces méthodes se sont révélées être, au mieux, de minimes obstacles. Les codes temporaires envoyés par SMS ou e-mail sont facilement compromis par des attaques de phishing et diverses autres méthodes, et les vérifications biométriques sont en déclin avec les progrès rapides de l'intelligence artificielle.
IDScan n'est pas une institution financière, ni légalement tenue de conserver les informations personnelles d'aucune personne — il s'agit simplement d'un fournisseur qui permet à d'autres entreprises de réaliser des vérifications d'identité. Toutefois, les entreprises ayant utilisé les services cloud d'IDScan ont regroupé leurs pièges à données dans un emplacement plus centralisé, rendant la compromission des données bien plus facile.
En tenant compte de tout cela, pourquoi céder nos informations personnelles sensibles si ce que nous recevons en échange sont de fausses promesses de sécurité ? Les Américains ne sont pas plus en sécurité parce qu'ils s'identifient à chaque instant à chaque fournisseur de services qu'ils rencontrent. Bien au contraire. Pourtant, les gouvernements, nationaux et étrangers, souhaitent étendre encore davantage le régime d'identification grâce à la vérification d'âge sous prétexte de protéger les enfants. Mais nous assistons une fois de plus à ces « protections » qui causent plus de dommages que de bienfaits. Nos informations sont en ligne, échangées entre criminels, parce que les gouvernements et les entreprises voulaient savoir qui nous étions et ce que nous faisions. Et maintenant, nous en payons le prix.
S’il y a jamais eu un moment pour une vie privée plus forte, c’est maintenant. Toutefois, nous ne pouvons pas ignorer les nuances. Il existe des appels pour abolir entièrement les processus d’identification et de vérification. C’est une alternative attrayante, mais la réalité est que le but fondamental des processus anti-fraude est de protéger les Américains et leurs biens, et de préserver les revenus et l’intégrité opérationnelle des entreprises — l’approche actuelle est simplement inefficace. Il y a un réel utilité ici, mais cela ne signifie pas que nous devons rester dans le statu quo.
Les technologies en développement offrent la possibilité d'une approche améliorée. Au lieu de demander répétitivement aux Américains de remettre des copies complètes de leur pièce d'identité, des systèmes respectueux de la vie privée pourraient permettre aux individus de prouver uniquement ce qu'un service doit connaître — comme leur âge, leur éligibilité ou leur contrôle sur un compte — tout en conservant le contrôle des informations sous-jacentes.
Ces technologies sont encore en cours de développement, mais les régulateurs fédéraux devraient permettre aux institutions de les tester et de mettre à jour les exigences existantes à mesure qu'elles mûrissent. En outre, à mesure que de nouvelles approches préservant la vie privée émergent, le Congrès devrait réduire les exigences inutiles de collecte et de conservation des informations. Les processus anti-fraude restent précieux, mais peuvent exister sans un dossier permanent que les criminels pourraient voler.
Plus urgente encore, Washington et divers gouvernements d’État doivent arrêter toute législation ou réglementation qui étend les exigences d’identification et de vérification à des domaines où elles n’existent pas déjà et ne sont pas nécessaires. La pression en faveur de la vérification d’âge pour les logiciels open source et l’internet doit cesser ; elle met en danger les Américains ordinaires et renforce les criminels et les adversaires étrangers, tout en ne protégeant pas les enfants.
Les violations comme celle-ci sont évitables ; il suffit de vouloir les prévenir. Les outils pour y parvenir commencent à émerger, et dans les cas où nous n'avons pas besoin de vérifier quelqu'un, nous devrions éviter de le faire. Car la meilleure façon de protéger les informations personnelles sensibles est de ne pas les collecter du tout.