La fuite chez IDScan.net : ce que veut dire une fuite de pièces d’identité numérisées

Si votre permis de conduire a déjà été numérisé à l’entrée d’un bar, d’un casino ou au comptoir d’une agence de location d’autos, il est possible qu’il soit passé par un logiciel d’IDScan.net. Le 16 octobre 2026, l’entreprise a publié un avis destiné aux personnes au Canada au sujet d’un incident de sécurité, et le commissaire à la protection de la vie privée du Canada enquête depuis septembre. Voici ce que l’on sait et ce qui vaut la peine d’être fait.

Ce qui s’est passé

IDScan.net vend des outils de vérification d’identité que des entreprises utilisent pour contrôler des pièces d’identité émises par le gouvernement. Selon son avis aux personnes au Canada (en anglais), l’entreprise a appris vers le 1er septembre 2026 que des données avaient peut-être été consultées sans autorisation. Son enquête a établi jusqu’ici qu’un tiers non autorisé a eu accès à une partie de son environnement infonuagique entre le 4 avril et le 2 septembre 2026, et que l’incident se limite à sa plateforme VeriScan. L’enquête se poursuit.

Les renseignements possiblement touchés peuvent comprendre une combinaison de :

• nom complet et coordonnées
• date de naissance
• numéros de permis de conduire, de passeport et d’autres pièces d’identité gouvernementales

Les mêmes champs ne sont pas exposés pour tout le monde. IDScan.net précise que ce qui était conservé dépendait de la façon dont chaque entreprise utilisait VeriScan et de ce qu’elle choisissait de recueillir.

Le 21 septembre, le Commissariat à la protection de la vie privée du Canada a ouvert une enquête sur la fuite, en citant des informations voulant que des copies numériques de permis de conduire et d’autres pièces d’identité aient été volées. Il examinera les mesures de sécurité qu’IDScan.net avait en place et si ses avis aux personnes touchées étaient adéquats au regard de la LPRPDE.

CBC News rapporte (en anglais) que le FBI avait confirmé se pencher sur la vente signalée de dizaines de millions de permis de conduire américains et canadiens sur le Web clandestin, deux jours avant que l’entreprise publie sa première alerte. IDScan.net n’a pas publié le nombre de personnes touchées, et nous n’en avons vu aucun confirmé par un organisme de réglementation : nous ne reprenons donc pas les estimations ici.

Ce que ça veut dire pour vous

Vous ne pouvez probablement pas savoir de mémoire si un commerce que vous avez visité utilisait VeriScan. C’est ce qui rend ce genre de fuite inconfortable : vous n’avez jamais choisi IDScan.net, et vous n’en avez peut-être jamais entendu parler.

Un numéro de pièce d’identité qui fuit n’est pas un mot de passe qui fuit. Vous ne pouvez pas changer votre date de naissance, et remplacer un permis ou un passeport prend du temps. Ce qu’un fraudeur peut en faire, c’est essayer de se faire passer pour vous, par exemple pour ouvrir un compte ou rendre un appel à votre banque plus crédible. C’est pourquoi les gestes les plus utiles sont ceux qui rendent votre nom plus difficile à emprunter, pas ceux qui changent un mot de passe.

Ce que vous pouvez faire

1. Appelez le numéro qui figure dans l’avis officiel, pas celui d’un courriel. IDScan.net offre gratuitement une surveillance du crédit et une protection de l’identité. L’avis donne le 1-833-516-2980 (du lundi au vendredi, de 8 h à 20 h, heure de l’Est). Les messages qui « confirment » que vous êtes touché et vous demandent de cliquer sur un lien méritent une méfiance particulière en ce moment.
2. Ajoutez une alerte de fraude à votre dossier de crédit. L’avis renvoie à Equifax Canada (1-800-465-7166) et à TransUnion (1-877-713-3393 en français). Il décrit une « alerte de fraude potentielle » qui demande aux prêteurs de vous contacter avant d’accorder du crédit, et indique qu’elle reste à votre dossier pendant six ans. Notre liste de vérification après une fuite explique plus en détail le gel et les alertes de crédit.
3. Vérifiez votre dossier de crédit. Cherchez des comptes ou des demandes que vous ne reconnaissez pas. L’avis indique que vous pouvez demander votre dossier à l’une ou l’autre agence par la poste, par téléphone ou en personne.
4. Protégez votre numéro de téléphone. Quelqu’un qui a votre nom, votre date de naissance et votre numéro de pièce d’identité a plus d’atouts pour tenter de transférer votre numéro vers sa carte SIM. Notre guide sur l’échange de carte SIM explique comment ajouter un NIP auprès de votre fournisseur.
5. Méfiez-vous des appels de « vérification ». Quelqu’un qui connaît déjà votre date de naissance et votre numéro de permis peut avoir l’air officiel. Raccrochez et rappelez l’organisation à un numéro que vous avez trouvé vous-même. Voyez comment les fraudeurs utilisent les données divulguées.

Si vous ne savez pas si vous êtes touché, vous pouvez le demander à IDScan.net au numéro ci-dessus. Vous pouvez aussi demander à un commerce qui a numérisé votre pièce d’identité quel logiciel il utilise et combien de temps il conserve les copies.

Comment Frame peut aider

Frame tient un catalogue des fuites connues et vous permet d’ajouter à une adresse courriel vérifiée celles dont vous savez avoir fait partie. Frame montre ce que chacune a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. La recherche automatique de fuites n’est pas encore offerte. Nous ne recueillons ni ne conservons jamais les données divulguées elles-mêmes.

Sources

• IDScan.net, Notice of Security Incident for Individuals in Canada (en anglais), 16 octobre 2026
• Commissariat à la protection de la vie privée du Canada, Le Commissaire à la protection de la vie privée du Canada lance une enquête sur une atteinte à la sécurité des données mettant en cause des renseignements d’identité volés, 21 septembre 2026
• CBC News, Canadian investigation launched into data breach that exposed millions of IDs (en anglais), 21 septembre 2026