IDMerit, spécialiste du KYC, aurait exposé les données d’1 milliard…

Une actualité relayée par Next INpact concerne : iDMerit, spécialiste du KYC, aurait exposé les données d’1 milliard de personnes.

La vie privée, ça se mérite
IDMerit, entreprise californienne spécialisée dans les processus de vérification de l’identité du client, est accusée d’avoir laissé en accès libre un jeu de bases de données contenant les données personnelles d’environ un milliard de personnes, dont 52 millions de Français.

Peut-on encore parler d’intrusion dans un système informatique quand la porte d’entrée est laissée béante ? Une enquête de Cybernews, publiée le 18 février, affirme qu’une entreprise spécialisée dans les processus de vérification d’identité du client (ou KYC, pour know your customer) avait laissé en accès libre une instance MongoDB d’environ 1 To.

Cette dernière hébergeait plusieurs bases de données qui, dans leur ensemble, représentaient environ 3 milliards d’enregistrements. Dans le lot figuraient environ 2 milliards de lignes correspondant à des logs (un historique d’activité), et 1 milliard d’informations considérées comme des données personnelles.

1 milliard de données personnelles exposées

« Plusieurs bases de données semblaient contenir des données redondantes pour un même pays. Toutefois, notre équipe estime que la plupart des enregistrements étaient uniques », affirme Cybernews. Au total, les informations couvriraient un échantillon significatif de la population de 26 pays différents, avec 52 millions d’enregistrements qui émaneraient d’internautes français.

26 pays seraient concernés par cet ensemble de bases de données – crédit Cybernews

Outre le volume, la nature des données exposées est également particulièrement problématique. Selon Cybernews, l’instance contenait en effet des informations personnelles détaillées, avec coordonnées complètes, date de naissance et pièces d’identité. Dans certains jeux de données apparaissaient aussi des métadonnées liées à la ligne téléphonique ou d’autres critères que les auteurs de la découverte n’explicitent pas tels que des « annotations de profil social ».

« À cette échelle, les risques en aval comprennent la prise de contrôle de comptes, le phishing ciblé, la fraude à la carte de crédit, l’échange de cartes SIM et les atteintes à la vie privée à long terme », alerte Cybernews. Le média souligne par ailleurs le caractère très structuré des différentes bases de données exposées, qui facilite selon lui une exploitation à l’échelle industrielle, notamment grâce à des outils d’IA.

Exposées, mais téléchargées ?

Cybernews affirme que ses chercheurs ont découvert l’instance en question le 11 novembre dernier. Ces derniers ont dans la foulée contacté l’entreprise IDMerit qui a immédiatement sécurisé l’accès aux fichiers concernés. Un temps trop tard ? « Bien qu’il n’existe actuellement aucune preuve d’utilisation malveillante, des robots d’exploration automatisés mis en place par des acteurs malveillants parcourent constamment le web à la recherche d’instances exposées, les téléchargeant presque instantanément dès leur apparition », redoute Cybernews.

L’hypothèse de pirates capables de littéralement scanner Internet à la recherche de bases de données accessibles est pour mémoire tout à fait sérieuse, a minima pour les adresses IPv4.

/0 : Pourquoi des pirates et entreprises de cybersécurité scannent tout Internet (en IPv4)

Exigences de conformité

Inconnue du grand public, IDMerit est une entreprise californienne qui fournit des services de vérification d’identité à des banques, des émetteurs de services financiers, mais aussi des e-commerçants, des mutuelles, des assurances, des opérateurs téléphoniques ou des acteurs du jeu d’argent en ligne.

Tous ces secteurs ont en effet besoin, à des niveaux divers, de contrôler l’identité précise de la personne qui souscrit un service, notamment à des fins de conformité : une banque doit par exemple pouvoir justifier qu’elle connait ses clients (au sens vérification d’identité) dans le cadre des lois contre le blanchiment d’argent.

Les outils de vérification nécessaires sont généralement implémentés en marque blanche (le nom du prestataire n’apparait pas). À cette première brique très opérationnelle, IDMerit ajoute la promesse d’une capacité à enrichir les données, en croisant les différentes sources d’information à sa disposition, pour aider par exemple un établissement financier à déterminer le profil de risque du client qui cherche à souscrire un crédit.

« Nous intégrons des informations détaillées issues de sources de données officielles pour une analyse de données plus poussée. L’intégration de données démographiques telles que la situation géographique, le statut socio-économique, le sexe et l’âge nous permet d’améliorer considérablement notre capacité à identifier et à signaler les facteurs de risque et à optimiser la détection des fraudes », vante par exemple l’entreprise.

Ces intermédiaires, dont le métier consiste finalement à agréger un maximum de contexte autour de données personnelles, constituent de ce fait une cible de choix pour les pirates.

IDMerit n’a pas, à ce stade, commenté publiquement les informations révélées par Cybernews, et pourra peut-être se permettre de rester silencieuse si aucune action malveillante ne peut être rattachée aux informations issues de cette instance mal sécurisée.

Sumsub alerte sur une intrusion

Sumsub, un autre prestataire de KYC très utilisé par les plateformes spécialisés dans les cryptomonnaies (mais aussi par Duolingo) n’a pas eu cette chance. Début février, l’entreprise (basée à Londres) a communiqué au sujet d’une intrusion survenue dans son système en juillet 2024. L’incident a pu être découvert a posteriori, à l’occasion d’un audit de sécurité conduit en janvier dernier.

« D’après les informations actuellement disponibles, l’enquête de Sumsub indique qu’en juillet 2024, un acteur malveillant externe a soumis une pièce jointe malveillante via une plateforme de gestion de tickets d’assistance tierce, ce qui a permis un accès non autorisé limité à un environnement interne lié à l’assistance. », décrit Sumsub.

L’entreprise affirme que les données exposées consistaient principalement en une série de noms, mais elle indique aussi qu’une partie des enregistrements contenait des adresses email et des numéros de téléphone. Dans ce cas précis, aucune pièce d’identité, information biométrique ou information bancaire n’aurait été exposée ou compromise.

Sumsub comme IDMerit revendiquent sur leurs sites les certifications courantes de type ISO 27001 ou SOC2, ainsi qu’une totale conformité aux règlements européens ou états-uniens encadrant l’exploitation de données personnelles.

IDmerit vante la sécurité de ses services sur la page d’accueil de son site – capture d’écran