Le permis de conduire de Pete Hegseth, secrétaire à la Défense des États-Unis, a été mis en vente sur le dark web. L’incident, révélé début septembre 2026 par le journaliste Brian Krebs, met en lumière une brèche de sécurité nationale significative : plus de 153 millions de documents d’identité américains et canadiens auraient été exfiltrés d’IDScan.net, une entreprise de vérification basée en Louisiane. Le FBI a lancé une enquête officielle depuis son bureau de la Nouvelle-Orléans.
Un incident de sécurité nationale
Le 31 août 2026, un service appelé Nexus a émergé sur le forum cybercriminel russe Exploit, offrant l’accès à 153 millions de permis de conduire américains et canadiens, ainsi qu’à 10 millions de cartes d’identité et 3 millions de documents de voyage. Parmi les données disponibles se trouvait le permis de conduire de Pete Hegseth, qui a été retiré du site après avoir été exposé. NBC News confirme que le FBI enquête sur cette violation impliquant ce haut responsable de la Défense américaine.
Le chercheur en sécurité Zach Edwards a confirmé l’authenticité des données en les comparant avec des événements réels, les scans concordant avec les moments où les documents ont été fournis à des entreprises tierces, telles que Hertz pour la location de véhicules ou Planet13 pour des achats. Brian Krebs, qui a dévoilé l’affaire sur son site Krebs on Security, a retrouvé son propre permis scanné en juin 2025 lors d’un voyage en avion.
La compromission du secrétaire à la Défense soulève de sérieuses questions sur la protection des hauts responsables. Les documents volés incluent des versions en infrarouge et ultraviolet, utilisées pour détecter les contrefaçons, permettant ainsi la fabrication de faux documents d’une qualité exceptionnelle. IDScan.net, qui traite 21 millions de vérifications par mois pour des clients tels que FedEx et GameStop, n’a pas confirmé la brèche. Les opérateurs de Nexus affirment avoir exfiltré des données pendant plus d’un an, avec des ajouts continus, comme l’indique l’apparition de 400 000 nouveaux permis en 24 heures entre deux relevés de Krebs.
Risques de chantage et d’exploitation
L’exposition du permis de Hegseth représente une vulnérabilité exploitable par des services de renseignement étrangers ou des organisations criminelles. Les informations contenues, telles que l’adresse personnelle et les caractéristiques physiques, permettent des opérations d’usurpation d’identité, de phishing ou de chantage sophistiqués. Larry Baldwin, expert en cybersécurité, met en garde contre les risques pour les personnes vulnérables : « Les données pourraient être particulièrement dangereuses pour ceux cherchant à garder leur localisation ou identité secrète, y compris les survivants de violences domestiques », a-t-il expliqué à TechSpot. Les militaires en mission, les agents du renseignement et les diplomates sont également à risque.
La faille dans la chaîne de vérification d’identité expose une faiblesse systémique. Les entreprises privées accumulent des millions de documents sensibles sans garanties de sécurité suffisantes. Le modèle centralisé d’IDScan.net crée un point de défaillance unique, exposant des millions de citoyens en cas de compromission. Les conséquences vont au-delà du vol d’identité, les données permettant la création de profils complets sur des responsables gouvernementaux, avec des informations sur leurs déplacements et habitudes. Les groupes de cyberattaque étatiques tels que Kimsuky pourraient utiliser ces données pour affiner leurs campagnes de spear-phishing.
L’ampleur de la brèche : au-delà d’une personnalité
Hegseth n’est que la partie visible d’un problème plus vaste. Sur les 153 millions de permis volés, combien appartiennent à des militaires, agents fédéraux ou membres du Congrès ? Seul un échantillon limité a été analysé avant la disparition de Nexus. TechCrunch rapporte que la base contenait également des permis commerciaux et potentiellement des cartes d’accès gouvernementales, utilisées par le personnel militaire.
Brian Krebs souligne l’urgence de la situation : « Si vous avez remis votre permis de conduire, passeport ou autre document pour vérification, il y a de fortes chances qu’il ait été volé », avertit-il. Cette situation met en lumière la banalisation de la collecte de données biométriques, désormais en danger. Le Pentagone et les agences de renseignement doivent évaluer l’impact sur leur personnel, les permis révélant des adresses personnelles et des itinéraires sensibles. Les données des dispensaires de cannabis ajoutent une complexité, l’usage récréatif pouvant compromettre certaines habilitations de sécurité. La doctrine Trump sur les contre-mesures offensives pourrait être pertinente dans ce contexte.
Réponse fédérale et enquête du FBI
Le FBI a lancé une enquête depuis son bureau de la Nouvelle-Orléans, couvrant la Louisiane où est basée IDScan.net. Les investigateurs cherchent à mesurer l’étendue de l’exfiltration et à identifier les opérateurs de Nexus, la plateforme ayant disparu peu après l’exposition médiatique. Cette disparition rapide pourrait soit indiquer une opération de renseignement étatique, soit une réaction à l’exposition médiatique. Néanmoins, les 153 millions de documents restent probablement en circulation.
L’incident révèle les dangers de la centralisation des données biométriques, alors que des lois récentes obligent les citoyens à fournir leurs documents pour accéder à certains services. Les entreprises accumulent ces scans sans supervision stricte, créant des cibles lucratives pour les cybercriminels. La compromission d’IDScan.net montre qu’aucun système n’est infaillible, surtout lorsque la croissance est privilégiée au détriment de la sécurité, mettant ainsi en péril la sécurité nationale.
