Violation de données chez 700Credit en 2025

La lettre de notification adressée par 700Credit aux personnes concernées indique expressément que certains dossiers présents dans l’application web et liés à ses clients concessionnaires ont été copiés sans autorisation. Le dépôt de cette lettre auprès du procureur général du Maine confirme officiellement qu’il s’agissait d’une violation de données personnelles et que la notification concernait 5 836 521 personnes. Le procureur général du Michigan a également publié un avertissement à l’intention des consommateurs décrivant l’incident et les types de données touchés.

BleepingComputer a examiné la lettre officielle et les déclarations d’un dirigeant de l’entreprise, et a rapporté que l’attaque avait utilisé une API accessible via un partenaire d’intégration tiers compromis. Son article corrobore de manière indépendante les champs de données confirmés, la chronologie de l’enquête et les douze mois d’accompagnement en matière de protection de l’identité. LeakData s’appuie sur les conclusions communiquées par ces sources et ne formule aucune hypothèse sur l’identité de l’attaquant ni sur les détails techniques non divulgués.

D’après le récit de l’entreprise, un attaquant s’est introduit dans le système de l’un des partenaires d’intégration de 700Credit en juillet 2025 et a découvert une API servant à récupérer des informations sur les consommateurs. Le partenaire n’a pas informé 700Credit de cette compromission à ce moment-là. Une faiblesse des contrôles, qui ne vérifiaient pas suffisamment la correspondance entre l’identifiant de référence d’un consommateur et le demandeur initial, a permis à l’attaquant de demander des dossiers de consommateurs sans autorisation.

Après avoir constaté une activité inhabituelle le 25 octobre, 700Credit a lancé une enquête avec des spécialistes externes de l’investigation numérique et a désactivé l’API exposée. Un dirigeant de l’entreprise a déclaré publiquement que l’attaquant avait obtenu environ vingt pour cent des données sur les consommateurs recueillies auprès des concessionnaires entre mai et octobre 2025. La date de l’incident repose sur la première activité technique vérifiable à partir de sources publiques.

Les documents de notification confirment quatre catégories de données : noms complets, adresses physiques, dates de naissance et numéros de sécurité sociale. Tous ces champs n’étaient pas nécessairement présents pour chaque personne, car l’entreprise a précisé que le contenu variait selon les individus.

Les sources citées n’incluent pas les numéros de carte de paiement, les mots de passe de comptes bancaires, les gabarits biométriques ni les numéros de permis de conduire dans le périmètre confirmé. Ces catégories ne sont donc pas ajoutées. Bien que 700Credit propose des produits permettant d’établir des rapports de crédit et de vérifier l’identité, il n’est pas possible de supposer que tous les types d’informations utilisés dans l’ensemble de son catalogue de produits ont fait l’objet de la violation; cette fiche se limite aux quatre catégories explicitement nommées dans la notification.

700Credit a indiqué que son réseau interne n’avait pas été compromis et que l’incident était limité à la couche applicative de 700Dealer.com. L’accès initial ayant eu lieu chez un partenaire d’intégration, cet incident relève d’un risque lié à une connexion avec un tiers, qui s’est étendu par une interface applicative. Cette fiche ne considère toutefois pas que chaque système du partenaire non nommé ou chaque concessionnaire client de 700Credit a subi une violation distincte en l’absence d’éléments probants.

L’entreprise a commencé à avertir les concessionnaires clients concernés le 21 novembre et a indiqué que l’envoi de notifications écrites aux personnes concernées commencerait le 22 décembre. En coordination avec la National Automobile Dealers Association, elle a adressé une notification consolidée à la Federal Trade Commission, pour son propre compte et celui des concessionnaires clients concernés. Les procureurs généraux des États et le FBI ont également été informés de l’incident.

700Credit a proposé aux personnes concernées des services de surveillance du crédit et de restauration de l’identité gratuits pendant douze mois, par l’intermédiaire de TransUnion. Si vous avez reçu une notification, vous devriez vous inscrire avant la date limite indiquée, consulter régulièrement vos rapports de crédit et signaler rapidement tout compte ou toute consultation de votre dossier que vous ne reconnaissez pas. Vérifiez les messages qui semblent provenir de l’entreprise mais vous demandent un numéro de sécurité sociale ou un paiement, en utilisant des coordonnées obtenues indépendamment.

Comme un numéro de sécurité sociale ne peut pas être facilement remplacé, une surveillance à court terme ne suffit pas nécessairement à faire face au risque persistant. Les consommateurs aux États-Unis peuvent faire geler gratuitement leur dossier de crédit auprès des trois principales agences d’évaluation du crédit, utiliser une authentification multifacteur robuste pour leurs comptes fiscaux et administratifs, et rester attentifs à long terme aux signes d’usurpation d’identité. Un gel du dossier de crédit ne ferme pas les comptes existants; il rend plus difficile l’ouverture non autorisée de nouveaux crédits.

Le nombre de personnes ou de dossiers concernés publié par la source officielle correspond au périmètre déclaré de l’incident. Cela ne signifie pas que chaque personne était concernée par toutes les catégories de données indiquées. Le chiffre arrondi de 5,8 millions utilisé dans les titres de presse et les totaux provisoires plus faibles figurant dans les documents déposés dans certains États ne viennent pas s’ajouter séparément à ce nombre. La date de l’incident est le 25 octobre 2025, date vérifiée à laquelle 700Credit a détecté une activité suspecte; l’accès via un tiers ayant commencé en juillet est décrit dans la chronologie, sans inventer de jour précis.

Les décomptes de personnes non vérifiés, les champs de données non confirmés et les affirmations non vérifiées d’acteurs malveillants ne sont pas inclus dans le périmètre public de l’incident. Ce périmètre pourra être réévalué si une autorité de régulation publie un rectificatif ou si l’entreprise publie un rapport final d’investigation numérique; le présent récit ne va pas au-delà de ce qu’étayent les notifications officielles et les informations rapportées par des sources indépendantes.