Signal 01 · · CCN Intelligence
Le paradoxe de la vérification d'identité devient un enjeu canadien de protection de la vie privée
Ce qui s’est passé
Le Commissariat à la protection de la vie privée du Canada affirme être en communication avec l'entreprise associée à une importante fuite de documents d'identité en Amérique du Nord et évaluer les prochaines mesures qui pourraient être nécessaires. L'incident concerne un service du Web clandestin qui, selon des chercheurs, aurait offert environ 153 millions de documents d'identité provenant des États Unis et du Canada. Une recherche effectuée par le journaliste spécialisé en cybersécurité Brian Krebs aurait permis d'identifier environ 1,1 million de permis de conduire canadiens. Les autorités canadiennes n'ont pas confirmé ce chiffre de façon indépendante. Le FBI enquête sur l'incident et la GRC affirme surveiller la situation.
Pourquoi c’est important pour le Canada
Les permis de conduire ont de la valeur précisément parce qu'ils sont émis par les gouvernements et utilisés par les organisations comme preuve d'identité. Ils contiennent également des renseignements personnels extrêmement utiles aux fraudeurs. L'incident révèle un paradoxe croissant. Les organisations numérisent de plus en plus les documents d'identité afin de réduire la fraude et d'établir la confiance. Mais la collecte et la conservation de ces documents peuvent créer des dépôts centralisés de preuves d'identité hautement fiables qui deviennent des cibles particulièrement attrayantes pour les cybercriminels.
Ce que CCN observe
L’enjeu dépasse le simple vol de documents d’identité. Il concerne la concentration croissante de preuves d’identité fiables dans les systèmes de vérification. À mesure que davantage d’organisations s’appuient sur des pièces d’identité gouvernementales numérisées pour établir la confiance, ces dépôts deviennent des cibles de plus en plus précieuses. Les stratégies de confiance numérique devront de plus en plus tenir compte du fait que même des preuves d’identité apparemment légitimes peuvent être compromises.
Ce que les dirigeants devraient envisager
Une stratégie de vérification d'identité ne devrait pas uniquement demander si un document d'identité peut être recueilli. Les organisations devraient savoir quels renseignements leurs fournisseurs de vérification conservent, pendant combien de temps, où ces renseignements sont stockés, qui peut y accéder et ce qui se produit si ce fournisseur est compromis. Cette question est particulièrement importante puisque les organisations demeurent responsables des renseignements personnels traités par les fournisseurs de services agissant en leur nom.
À surveiller
Il faudra surveiller si le Commissariat ouvre une enquête officielle, si les autorités canadiennes confirment le nombre de Canadiens touchés et si l'incident entraîne des attentes plus strictes concernant la conservation des documents d'identité numérisés. Le signal plus large est important : Les systèmes conçus pour prouver qui nous sommes pourraient eux mêmes devenir certaines des cibles les plus précieuses de l'économie numérique.
Source : Global News