Un milliard d'identités à nu, un port ouvert : le kit parfait pour les pirates de SIM-swap

Un milliard d'identités, un port ouvert et un kit de SIM-swap prêt à expédier

Une instance MongoDB mal configurée a laissé traîner quelque trois milliards de dossiers sur Internet, dont environ un milliard contenaient des données personnelles sensibles. Aucun mot de passe ne les protégeait, et personne ne sait depuis combien de temps ils étaient accessibles avant que les chercheurs de Cybernews ne tombent dessus, le 11 novembre 2025. Cette fuite, imputée au fournisseur californien de vérification d'identité IDMerit, n'a pas seulement livré des noms et des dates de naissance. Elle les a assortis de métadonnées télécoms et de numéros de téléphone, soit l'exacte liste d'ingrédients dont les équipes industrielles de SIM-swap ont besoin pour vider des comptes d'échange dépositaires à grande échelle.

Ce qui a été exposé

La taxonomie des données ressemble à la liste de courses idéale d'un fraudeur à l'identité. Dans cette instance d'au moins 1 téraoctet, Cybernews a documenté des noms complets associés à des adresses résidentielles et des codes postaux, des dates de naissance, des numéros d'identité nationale, des numéros de téléphone, des marqueurs de genre, des adresses e-mail, des métadonnées télécoms décrivant le réseau mobile de chaque abonné, ainsi que des journaux de vérification KYC/AML indiquant quand et comment une identité donnée avait été validée, et chez quel partenaire. Chaque champ, pris isolément, est récupérable, parfois même à bon marché sur les marchés de fuites historiques. La combinaison ne l'est pas. Un numéro d'identité nationale, plus une adresse résidentielle actuelle, plus l'opérateur mobile, plus le numéro de téléphone correspondant, plus un passage KYC horodaté, cela constitue fonctionnellement un paquet d'identité notarié, le type de bundle qu'un fraudeur devrait autrement assembler à travers quatre ou cinq sources distinctes.

La portée géographique s'étend à au moins 26 pays, avec les concentrations les plus lourdes suivantes :

• États-Unis : 203 millions de dossiers
• Mexique : 124 millions de dossiers
• Philippines : 72 millions de dossiers
• Allemagne : 61 millions de dossiers
• Italie : 53 millions de dossiers
• France : 53 millions de dossiers

Les journaux KYC/AML méritent une mention à part. Il ne s'agit pas seulement de documents d'identité bruts, mais de la piste d'audit de la vérification d'identité. Autrement dit, un attaquant qui les consulte sait quelle fintech ou quel échange fait déjà confiance à telle identité, quand cette confiance a été établie, et sur la base de quel document. Cela transforme une tentative de fraude d'une approche à froid en une usurpation chaude, avec la documentation de soutien déjà pré-validée.

Le délai de 99 jours

Cybernews a découvert l'instance ouverte le 11 novembre 2025, a prévenu IDMerit le même jour ou peu après, et la base de données a été sécurisée le 12 novembre, le lendemain de la découverte. La divulgation publique est intervenue le 18 février 2026, quatre-vingt-dix-neuf jours après la découverte initiale, un délai que Cybernews a qualifié de pratique standard de divulgation responsable pour un jeu de données d'une telle sensibilité.

La réponse d'IDMerit, cependant, ne cadrait pas avec les faits documentés. L'entreprise a affirmé que son « examen n'a trouvé aucune exposition, vulnérabilité ou accès non autorisé au sein de l'environnement IDMERIT », que « les systèmes et l'infrastructure de sécurité d'IDMERIT n'ont jamais été compromis », ajoutant qu'elle n'avait « aucune indication selon laquelle des données client auraient été compromises », et évoquant la possibilité que l'incident soit « lié à une rançon ». Le langage est soigné, et il contredit aussi les faits empiriques : un jeu de données d'un téraoctet, estampillé des journaux de vérification d'IDMerit, servi sans authentification depuis un point d'accès MongoDB que les chercheurs ont atteint par hasard. La formulation plus restrictive de l'entreprise sur de potentiels « ports de données associés à des sources de données indépendantes » ouverts, c'est là que le déni tient techniquement debout, tandis que le préjudice subi par les individus nommés dans la base de données ne s'en trouve pas moins réel pour cette distinction.

Le pipeline de SIM-swap

C'est l'angle SIM-swap qui fait passer cette fuite du domaine du gênant à celui de l'opérationnel. Cybernews écrivait dans sa divulgation que les métadonnées télécoms exposées, incluant les informations de réseau mobile, « pourraient faciliter des attaques par SIM-swap », notant séparément que la combinaison de ces métadonnées avec les numéros de téléphone « augmente le risque que des criminels prennent le contrôle des numéros de téléphone des victimes pour intercepter des codes d'authentification ».

La mécanique est bien documentée. La condamnation fédérale de 2024 dans l'affaire de vol de 8 millions de dollars par SIM-swap de cryptomonnaies, couverte en profondeur par KrebsOnSecurity, a mis au jour le pipeline standard. Un opérateur cible un compte de grande valeur, identifie l'opérateur de la victime, entre dans un magasin de détail ou mène une ingénierie sociale auprès d'un centre d'appels avec suffisamment de preuves d'identité pour franchir les contrôles d'authentification de l'opérateur, porte le numéro vers une SIM sous son contrôle, intercepte le mot de passe à usage unique par SMS envoyé par l'échange, et réinitialise le compte. Chaque étape de ce pipeline comporte un point de friction, et cette friction, c'est la vérification d'identité chez l'opérateur. Le jeu de données IDMerit supprime cette friction. Avec l'identité nationale, l'adresse, la date de naissance et l'opérateur actuel prêts à être injectés dans un script, le travail qui mobilisait auparavant une petite cellule criminelle pendant plusieurs semaines par victime se transforme en chaîne de montage.

C'est la partie que le chiffre à la une masque. Un milliard de dossiers sensibles ne signifie pas un milliard de mauvais dénouements ; c'est l'intrant de travail pour plusieurs années de SIM-swap industriel, distribué aux acheteurs qui se procureront des fragments de la base de données alors qu'elle circulera inévitablement.

Pourquoi les fournisseurs KYC sont la nouvelle surface d'attaque

La fuite IDMerit n'est pas un cas isolé. Sumsub, dont la liste de clients inclut Bitget, Bitpanda, Bybit, Huobi et Wirex, a subi sa propre violation plus tôt en 2026, et le schéma plus large de fuites présumées d'administrateurs d'échanges (la divulgation d'administrateur Kraken étant l'exemple récent le plus commenté) suggère que la centralisation de la collecte d'identité a créé une classe de cibles plus riches que les échanges eux-mêmes. Un échange piraté perd son portefeuille chaud ; un fournisseur KYC piraté perd les identités vérifiées de la base d'utilisateurs de chaque échange à la fois, ce qui permet ensuite la prochaine vague de prises de contrôle de compte à travers des dizaines de plateformes sans lien entre elles.

Le problème structurel est que la pression réglementaire a poussé la vérification d'identité vers un petit nombre de fournisseurs spécialisés, sur la théorie raisonnable que la spécialisation améliore la qualité, et que cette consolidation a produit exactement le point de défaillance unique concentré que tout ingénieur en sécurité mettrait en garde contre s'il était proposé délibérément. Le régime de conformité mandate la collecte ; la dynamique de marché concentre le stockage ; et le stockage, comme IDMerit vient de le démontrer, peut reposer sur un port ouvert pendant un nombre de jours inconnu avant que quiconque ne le remarque.

Ce que cela change pour le Directory : notre verdict

Nous dégradons notre traitement de tout échange répertorié qui dépend d'un fournisseur KYC ayant subi une violation documentée en 2025 ou 2026, et ce jusqu'à ce que ce fournisseur publie un post-mortem crédible, pas un déni. La déclaration d'IDMerit ne remplit pas ce critère. La violation de Sumsub est suffisamment récente pour que nous traitions toute plateforme routant des flux d'identité à travers elle (Bybit, Bitget, Huobi, entre autres) comme présentant un risque élevé de SIM-swap pour les utilisateurs qui dépendent encore de la 2FA par SMS, qui sur ces plateformes reste le paramètre par défaut pour de nombreux types de compte.

Notre recommandation concrète : si un lecteur a historiquement passé le KYC sur un échange majeur avec un numéro américain, mexicain, philippin, allemand, italien ou français, il doit partir du principe que les métadonnées de l'opérateur circulent, remplacer la 2FA par SMS par un jeton matériel ou, là où c'est pris en charge, une application d'authentification liée à l'appareil, et envisager de changer le numéro de téléphone associé au compte d'échange lorsque le coût opérationnel de cette démarche est supportable. Pour les nouvelles inscriptions, les alternatives no-KYC que nous couvrons déjà ne sont plus une préférence de confidentialité ; ce sont une mesure d'atténuation du SIM-swap.

L'enseignement le plus inconfortable de cette fuite n'est pas qu'IDMerit a échoué. C'est que la voie réglementée, auditée, conforme produit désormais régulièrement des jeux de données que le marché criminel n'aurait pas pu assembler seul.

Sources

• Global data leak exposes billion records (Cybernews)
• IDMerit data breach analysis (Bright Defense)
• 1 Billion KYC Records Exposed in Massive Identity Data Leak (Quantrail Data)
• IDMerit KYC Data: One Billion Records Exposed (FinCrime Central)
• IDMerit data leak (Zyphe)
• kycisbad reference repository (GitHub)

Journal des modifications

• 2026-03-08 : Extraction de la divulgation originale de Cybernews, collecte des comptes par pays dans un tableau triable et vérification des totaux contre l'article de Bright Defense.
• 2026-03-24 : Lecture approfondie du déni d'IDMerit et comparaison du libellé, « aucune exposition au sein de l'environnement IDMERIT », avec la méthodologie de Cybernews pour attribuer le bucket.
• 2026-04-09 : Recoupement de la liste de clients Sumsub (Bitget, Bitpanda, Bybit, Huobi, Wirex) avec la liste de fintechs en aval d'IDMerit pour identifier les chevauchements ; retrait de trois noms où la relation reposait uniquement sur un communiqué de presse.
• 2026-04-18 : Rédaction de la section SIM-swap à partir du reportage de KrebsOnSecurity sur la condamnation de 8M$ comme référence procédurale, puis suppression d'un paragraphe qui dérivait vers des spéculations sur les prix de revente.
• 2026-04-26 : Passage final : suppression de trois phrases spéculatives sur les acteurs de menace possibles derrière la MongoDB ouverte, conservation uniquement de ce qui est documenté dans les rapports Cybernews et Bright Defense.