Des personnes dont l'identité a été vérifiée par IDmerit pourraient figurer dans une base de données laissée sans protection, dont l'exposition a été rapportée par le média Cybernews. Environ 53 millions d'enregistrements y seraient associés à la France. IDmerit fournit des services de vérification d'identité, dits KYC, auxquels des entreprises font appel pour s'assurer de l'identité de leurs clients.
Une base IDmerit exposée sans protection
Il ne s'agit pas d'une intrusion annoncée par un acteur, mais d'une base de données non sécurisée. Le volume observé atteint environ 1 milliard d'enregistrements personnels répartis sur 26 pays, au sein d'un ensemble plus vaste d'environ 3 milliards d'enregistrements. Ces chiffres désignent des lignes de données et non des personnes : une même personne peut apparaître plusieurs fois, et le nombre réel d'individus concernés, en France comme ailleurs, n'est pas connu.
Des informations d'identité réunies en un seul endroit
Pour les personnes concernées, le lien avec IDmerit est le plus souvent indirect : un vérificateur d'identité intervient pour le compte d'autres entreprises. Les données recensées réunissent le nom complet, la civilité, la date de naissance, l'adresse électronique, le numéro de téléphone, l'adresse postale et le code postal, ainsi que des identifiants nationaux liés aux pièces d'identité. S'y ajoutent des informations sur les appareils utilisés et des champs de saisie libre.
C'est la présence d'identifiants nationaux à côté de l'état civil et des coordonnées qui rend cette exposition sensible. Un tel ensemble correspond précisément à ce que recherche une personne qui veut ouvrir un compte ou souscrire un service au nom d'autrui, ou se faire passer pour un organisme officiel de manière crédible.
Détails techniques :
- Exposition d'une base de données non sécurisée, rapportée par Cybernews
- Environ 1 milliard d'enregistrements personnels répartis sur 26 pays
- Ensemble plus vaste d'environ 3 milliards d'enregistrements
- Environ 53 millions d'enregistrements associés à la France
- Volumes exprimés en enregistrements, non dédupliqués par personne
Données concernées :
- Nom complet et civilité
- Date de naissance
- Adresse email
- Numéro de téléphone
- Adresse postale et code postal
- Pièce d'identité (identifiants nationaux)
- Données d'appareil
- Champs libres
Mentions :
Statut Fuites Infos : Confirmée