Un ancien journaliste en cybersécurité, Bryan Krebs, a découvert un service en ligne illégal offrant un accès à 153 millions de permis de conduire américains et canadiens. Les données semblent avoir été extraites des systèmes d'une entreprise qui fournit des services de vérification d'identité. Le Bureau fédéral d'enquête (FBI) a entamé une enquête sur ce sujet. Krebs a appris de ce service le 31 août, lorsqu'une source lui a envoyé une capture d'écran de ses propres informations de permis de conduire. Il a ensuite accédé à un outil appelé Nexus, disponible sur un forum en ligne russe utilisé pour le commerce de données volées. L'outil a été retiré du forum après que son existence ait été révélée. Selon Krebs, la base de données contenait non seulement 153 millions de permis de conduire, mais aussi 10 millions de cartes d'identité, près de 2 millions de documents de voyage et presque 600 000 cartes médicales. Les compteurs de la base de données augmentaient continuellement, ce qui suggère qu'elle était mise à jour régulièrement. Krebs a noté qu'en à peine un jour, 400 000 nouveaux permis de conduire avaient été ajoutés à la base de données. Les créateurs de Nexus affirmaient avoir ajouté des données à leur base de données privée depuis plus d'un an. Krebs a testé la base de données en vérifiant les informations avec douze amis et a découvert que neuf d'entre eux figuraient sur la liste. Après avoir examiné davantage les données, Krebs a établi un lien entre la présence de certains documents et des activités de voyage récentes, notamment des locations de voitures chez Hertz. Un autre expert en cybersécurité, Zach Edwards, a constaté que les horodatages des données correspondaient à une location de voiture récente pendant une période de vacances. Edwards avait fourni son permis de conduire uniquement lors de l'enregistrement dans un hôtel à Las Vegas et lors d'une dispensaire de cannabis pendant un voyage à un congrès technologique appelé Defcon. Les services associés à ces données semblent être liés à ID Scan, une entreprise américaine spécialisée dans la vérification d'identité et qui affirme être un leader dans la prévention du fraude impliquant des documents falsifiés. Les clients d'ID Scan incluent Hertz, une chaîne de dispensaires, FedEx, plusieurs constructeurs automobiles et Shell. Cependant, l'entreprise n'a pas encore commenté la possibilité d'une fuite de données. Le FBI s'est intéressé à ce cas et Krebs a été invité à participer à une conférence téléphonique avec plusieurs spécialistes du crime informatique. Krebs a noté que le vice-directeur du FBI avait son permis de conduire inscrit sur Nexus, bien que le permis du directeur n'ait pas été trouvé. Il est encore incertain que ID Scan réagisse de quelle manière ou quand l'accès à ces données sera bloqué. Un commentaire sur le post de Krebs suggérait que l'entreprise avait commencé à informer ses clients entreprises de la fuite le 2 mars, mais la véracité de cette affirmation reste incertaine.