Le commissaire à la protection de la vie privée ouvre une enquête sur la fuite de données d'IDScan.net

Le Commissariat à la protection de la vie privée du Canada a ouvert une enquête sur une fuite de données survenue chez IDScan.net, une plateforme en ligne utilisée par des entreprises pour vérifier l'identité des clients. La brèche survenue plus tôt ce mois-ci aurait exposé des numérisations de permis de conduire et d'autres renseignements personnels de millions de personnes en Amérique du Nord, y compris des Canadiens. Le commissaire à la protection de la vie privée, Philippe Dufresne, a annoncé l'enquête tard lundi. Le Commissariat a indiqué qu'il examinera les mesures de sécurité qu'IDScan.net avait en place au moment de la fuite et la pertinence de ses notifications aux personnes touchées.

L'enquête déterminera si l'entreprise est conforme à la Loi sur la protection des renseignements personnels et les documents électroniques, la loi fédérale canadienne sur la protection de la vie privée dans le secteur privé. La loi exige que les organisations signalent les atteintes qui présentent un risque réel de préjudice grave, comme le vol d'identité ou une perte financière. Le Commissariat a déclaré qu'il continuera de collaborer avec IDScan.net pour s'assurer que l'entreprise prend les mesures nécessaires pour faire face à l'incident et atténuer les risques pour les Canadiens. Il s'agit de la première confirmation d'une enquête canadienne active sur cette cyberatteinte.

IDScan.net a déclaré dans un communiqué le 4 septembre qu'un tiers non autorisé aurait pu accéder ou copier certains renseignements sur les clients stockés dans des comptes sur son nuage. Les données touchées pourraient inclure les noms complets ainsi que les numéros de permis de conduire ou d'autres pièces d'identité gouvernementales. L'entreprise a indiqué qu'elle contacte les personnes qui auraient pu être exposées et leur offre gratuitement des services de surveillance du crédit et de protection de l'identité. Ni l'entreprise ni aucun organisme gouvernemental au Canada ou aux États-Unis n'a confirmé le nombre de personnes dont les données ont été exposées.

À LIRE AUSSI : Un transformateur de fruits de mer de la Nouvelle-Écosse interjette appel d’une décision dans un recours de 10 millions $ sur le homard

À LIRE AUSSI : OpenAI dévoile six cas de comportement imprévu de l'IA et lance un cadre de signalement

La semaine dernière, la GRC a déclaré qu'elle surveillait la situation et qu'elle demeurait en contact avec ses partenaires nationaux et internationaux en matière d'application de la loi et de cybersécurité. La Police montée n'a pas nommé l'entreprise touchée par le piratage. Le FBI américain a déclaré dans un bref communiqué le 2 septembre qu'il examinait l'incident, mais ne pouvait pas commenter en raison de l'enquête en cours. Le journaliste indépendant en cybersécurité Brian Krebs a déclaré dans un billet le 1er septembre qu'il avait découvert un site du web sombre vendant des numérisations de millions de permis de conduire de personnes aux États-Unis et au Canada.

Krebs a dit avoir confirmé l'authenticité des données auprès de neuf personnes, selon un rapport de Reuters. Il a estimé le nombre de documents d'identité volés à environ 153 millions pour des personnes aux États-Unis et au Canada. Un affinement de la recherche pour les permis de conduire canadiens a donné environ 1,1 million de résultats, a déclaré Krebs. La source des documents d'identité n'a pas été confirmée par les autorités, mais Krebs a cité un représentant d'IDScan.net, basée à La Nouvelle-Orléans, disant qu'elle enquêtait sur la question. Global News a envoyé plusieurs demandes à IDScan.net la semaine dernière pour savoir si elle était au courant du nombre de Canadiens touchés. Un porte-parole a accusé réception, mais n'avait pas fourni de réponse au moment de la publication.