IDMerit exposes 1 billion identity records in unprotected database

Des éléments tels que votre nom, votre adresse personnelle, votre date de naissance et même votre numéro de sécurité sociale se trouvaient peut-être sur Internet ouvert. Les chercheurs affirment qu’une base de données non protégée liée à IDMerit, une société qui prétend aider les entreprises à vérifier les identités, a exposé environ 1 milliard d’enregistrements sensibles dans 26 pays.

Rien qu’aux États-Unis, plus de 203 millions de dossiers n’ont pas été sécurisés. Cela implique les documents et détails exacts que les entreprises utilisent pour confirmer que vous êtes bien vous. Si les criminels obtiennent ce genre d’informations, ils auront tout ce dont ils ont besoin.

Inscrivez-vous à mon rapport CyberGuy GRATUIT
Recevez mes meilleurs conseils techniques, mes alertes de sécurité urgentes et mes offres exclusives directement dans votre boîte de réception. De plus, vous aurez un accès instantané à mon Ultimate Scam Survival Guide – gratuit lorsque vous rejoignez mon CYBERGUY.COM bulletin.

Soyez conscient des e-mails d’extorsion prétendant que vos données sont volées

Les chercheurs affirment qu’une base de données exposée liée à IDMerit a laissé environ 1 milliard de documents d’identité sensibles visibles sur Internet ouvert. (Morteza Nikoubazl/NurPhoto via Getty Images)

Ce que vous devez savoir sur la fuite massive de données

Des chercheurs de Cybernews, une publication d’actualités et de recherche sur la cybersécurité, ont découvert le 11 novembre 2025 une base de données MongoDB exposée qui, selon eux, appartient à IDMerit, un fournisseur mondial de vérification d’identité qui dessert les banques, les sociétés de technologie financière et d’autres sociétés de services financiers. IDMerit utilise des outils d’intelligence artificielle pour aider les entreprises à effectuer le KYC, abréviation de Know Your Customer, qui est le processus de vérification d’identité requis lorsque vous ouvrez des comptes financiers.

La base de données n’était pas protégée par un mot de passe. Quiconque savait où chercher pouvait y accéder. À l’intérieur se trouvaient les noms complets, les adresses personnelles, les codes postaux, les dates de naissance, les numéros d’identité nationaux, les numéros de téléphone, les adresses e-mail et les informations sur le sexe. Certains enregistrements comprenaient également des métadonnées liées aux télécommunications et des indicateurs internes pouvant faire référence à des violations passées.

L’exposition a touché des personnes dans 26 pays. Les États-Unis ont enregistré le plus grand nombre de documents exposés, soit plus de 203 millions. Le Mexique, les Philippines, l’Allemagne, l’Italie et la France ont également été fortement touchés.

Les chercheurs ont informé l’entreprise et la base de données a été sécurisée le lendemain. Il n’existe actuellement aucune preuve publique que des criminels ont téléchargé les données. Il convient néanmoins de noter que les robots automatisés analysent constamment Internet à la recherche de bases de données exposées et peuvent les copier en quelques minutes.

VOUS POURRIEZ PARTAGER VOTRE NUMÉRO DE SÉCURITÉ SOCIALE QUAND VOUS N’EN AVEZ PAS BESOIN

La base de données non sécurisée contiendrait des informations très sensibles, notamment des noms, des adresses personnelles, des dates de naissance et des numéros d’identification nationaux. (Silas Stein/photo alliance via Getty Images)

Comment c’est arrivé et pourquoi c’est important pour vous

Lorsque vous ouvrez un compte bancaire, vous inscrivez à une plateforme de cryptographie ou vérifiez votre identité pour une application financière, il vous est souvent demandé de télécharger une pièce d’identité gouvernementale et de fournir des informations personnelles. Des entreprises comme IDMerit traitent ces informations en coulisses. Cela signifie que cette base de données contenait probablement les mêmes informations que vous utiliseriez pour prouver votre identité à une banque ou à un organisme gouvernemental.

Pour les criminels, c’est de l’or. Avec votre nom complet, votre date de naissance, votre carte d’identité nationale et votre numéro de téléphone, les fraudeurs peuvent tenter des attaques par échange de carte SIM. C’est à ce moment-là que quelqu’un convainc votre opérateur de téléphonie mobile de transférer votre numéro de téléphone sur son appareil. Une fois qu’ils contrôlent votre numéro, ils peuvent intercepter les codes de sécurité envoyés par SMS et pénétrer dans vos comptes bancaires ou de messagerie. Ils peuvent également lancer des escroqueries par phishing très ciblées. Imaginez recevoir un appel ou un e-mail contenant votre véritable adresse personnelle et votre numéro d’identification. Cela semblerait légitime, et c’est exactement le point.

Les données étant soigneusement organisées, les criminels pouvaient les trier par pays ou par d’autres détails et utiliser des outils automatisés pour cibler un grand nombre de personnes par des escroqueries.

UNE VIOLATION DE DONNÉES EXPOSE PRÈS D’UN MILLION DE COMPTES

Les experts préviennent que de telles données peuvent aider les criminels à lancer des attaques par échange de carte SIM et des escroqueries de phishing très ciblées. (Kurt “CyberGuy” Knutsson)

IDMERIT répond aux allégations d’exposition de données

Nous avons contacté IDMerit pour obtenir des commentaires, et un porte-parole de la société a fourni à CyberGuy la déclaration suivante :

“IDMERIT est une société de logiciels en tant que service qui fournit une technologie de vérification d’identité. Nous possédons et exploitons notre plate-forme exclusive, mais nous ne possédons, ne contrôlons ni ne stockons les données des clients ni les données sous-jacentes conservées par des sources de données indépendantes. Notre plate-forme se connecte à des sources de données autorisées à l’échelle mondiale pour vérifier les identités individuelles au nom de nos clients. “

« Le 11 novembre, IDMERIT a été informé par un pirate informatique éthique que certains ports de données associés à des sources de données indépendantes auraient pu être ouverts, ce qui aurait pu exposer certaines bases de données. Dès réception de cette notification, nous avons immédiatement procédé à un examen complet de nos logiciels, contrôles de sécurité, configurations et journaux système. Cet examen n’a identifié aucune exposition, vulnérabilité ou accès non autorisé au sein de l’environnement IDMERIT. Les systèmes et l’infrastructure de sécurité d’IDMERIT n’ont jamais été compromis.

“Dans le même temps, nous avons informé tous les partenaires sources de données concernés et avons travaillé avec eux pour évaluer l’affaire. Nos partenaires ont mené leurs propres enquêtes internes et ont confirmé qu’il n’y avait jamais eu de violation de données ou d’exfiltration de leurs systèmes pendant, avant ou après cet événement. Nous avons demandé un rapport d’incident de sécurité aux pirates éthiques comme preuve, et la réponse a été une demande d’argent pour le rapport, ce qui a confirmé nos soupçons selon lesquels il s’agissait d’un incident lié à une rançon.”

“Sur la base de notre examen interne et des confirmations de nos partenaires, nous n’avons aucune indication que les données des clients ont été compromises. Nous continuons de maintenir de solides mesures de sécurité sur nos systèmes et prenons ces accusations très au sérieux alors que nous continuons d’enquêter sur cette affaire en coordination avec nos partenaires.”

8 façons de vous protéger contre les fuites de données

Avant que les criminels n’aient la possibilité d’utiliser ces informations contre vous, voici des mesures pratiques que vous pouvez prendre dès maintenant pour verrouiller les choses et réduire vos risques.

1) Gelez vos rapports de crédit

Contactez les principales agences d’évaluation du crédit de votre pays et gelez le crédit. Cela empêche les criminels d’ouvrir des prêts ou des cartes de crédit à votre nom. Même si quelqu’un possède votre carte d’identité nationale et votre date de naissance, les prêteurs ne pourront pas accéder à votre dossier de crédit sans votre autorisation.

2) Arrêtez de vous fier aux codes de sécurité des messages texte

Si votre compte bancaire ou de messagerie utilise toujours des codes SMS pour l’authentification à deux facteurs, passez plutôt à une application d’authentification. Les messages texte peuvent être interceptés lors d’attaques par échange de carte SIM. Une application d’authentification génère des codes directement sur votre appareil, ce qui rend beaucoup plus difficile l’intrusion des criminels.

3) Utilisez un gestionnaire de mots de passe

Si les attaquants associent des données d’identité divulguées à des mots de passe issus de violations plus anciennes, ils peuvent tenter d’accéder à vos comptes. Un gestionnaire de mots de passe crée des mots de passe forts et uniques pour chaque compte, de sorte qu’une seule fuite ne déverrouille pas tout le reste.

Découvrez les meilleurs gestionnaires de mots de passe évalués par des experts de 2026 sur Cyberguy.com.

4) Envisagez une protection contre le vol d’identité

Les services de surveillance du vol d’identité peuvent vous alerter si vos informations personnelles sont utilisées pour ouvrir des comptes ou apparaissent sur les marchés du dark web. Une détection précoce peut faire la différence entre arrêter rapidement la fraude et la découvrir des mois plus tard. Consultez mes conseils et mes meilleurs choix sur la meilleure protection contre le vol d’identité sur Cyberguy.com

5) Surveillez de près votre compte mobile

Connectez-vous à votre compte d’opérateur mobile et activez des fonctionnalités de sécurité supplémentaires, telles qu’un code PIN de port-out, si disponible. Cela ajoute une couche de protection supplémentaire afin que quelqu’un ne puisse pas facilement déplacer votre numéro de téléphone vers une autre carte SIM.

6) Exécutez un logiciel antivirus sur vos appareils

Un bon logiciel antivirus peut bloquer les liens malveillants, les fausses pages de connexion et les logiciels espions susceptibles d’être utilisés lors d’attaques ultérieures. Après une exposition importante de données, les campagnes de phishing augmentent souvent, et la mise en place d’une protection peut vous éviter des ennuis. Obtenez ma sélection des meilleurs gagnants de la protection antivirus 2026 pour vos appareils Windows, Mac, Android et iOS sur Cyberguy.com.

7) Envisagez un service de suppression de données personnelles

Vos informations personnelles sont souvent dispersées sur des sites de courtiers de données et des bases de données de recherche de personnes qui vendent l’accès à vos informations. Un service de suppression de données personnelles peut surveiller où vos informations apparaissent en ligne et travailler à leur suppression. Cela réduit la quantité de données que les criminels peuvent trouver sur vous en un seul endroit, ce qui rend plus difficile pour eux de reconstituer votre identité et de vous cibler avec des escroqueries ou des fraudes. Découvrez mes meilleurs choix de services de suppression de données et obtenez une analyse gratuite pour savoir si vos informations personnelles sont déjà disponibles sur le Web en visitant Cyberguy.com.

8) Méfiez-vous des appels qui en savent trop

Si quelqu’un vous contacte et fait référence à votre adresse, votre date de naissance ou votre numéro d’identification, ne présumez pas qu’il est légitime. Raccrochez et appelez le numéro officiel indiqué sur le site Web de l’entreprise. Les criminels utilisent des données réelles pour rendre les fausses histoires convaincantes.

Le point clé de Kurt

Cet incident expose un problème plus vaste. Les entreprises qui gèrent la vérification d’identité sont devenues une infrastructure essentielle pour l’économie numérique. Lorsque l’un d’entre eux laisse une base de données ouverte, les conséquences se propagent à travers les pays et à des millions de personnes ordinaires qui n’ont même jamais entendu parler de l’entreprise. Vous avez fait confiance à une banque ou à une application avec votre identifiant. Cette banque a fait confiance à un tiers. Quelque part dans cette chaîne, les contrôles de sécurité de base ont échoué.

Les entreprises qui gèrent la vérification d’identité devraient-elles être automatiquement sanctionnées lorsqu’elles exposent les données les plus sensibles de millions de personnes ? Faites-le-nous savoir en nous écrivant à Cyberguy.com.

CLIQUEZ ICI POUR TÉLÉCHARGER L’APPLICATION FOX NEWS

Inscrivez-vous à mon rapport CyberGuy GRATUIT
Recevez mes meilleurs conseils techniques, mes alertes de sécurité urgentes et mes offres exclusives directement dans votre boîte de réception. De plus, vous aurez un accès instantané à mon Ultimate Scam Survival Guide – gratuit lorsque vous rejoignez mon CYBERGUY.COM bulletin.

Copyright 2026 CyberGuy.com. Tous droits réservés.