Violation de données chez Alcott HR en 2025

Après avoir détecté une activité inhabituelle en février 2025, l’entreprise a déclenché sa procédure de réponse aux incidents, averti les forces de l’ordre et fait appel à des spécialistes indépendants en investigation numérique. L’enquête a établi qu’une personne non autorisée avait accédé à certains systèmes d’Alcott dans lesquels des informations personnelles étaient stockées.

Alcott a terminé l’examen des informations touchées en mars 2026. Des avis publics et des documents émanant des autorités de régulation des États ont suivi en juin 2026; les documents publiés ne précisent pas la méthode utilisée pour obtenir l’accès initial.

Selon l’avis officiel d’Alcott, les catégories de données potentiellement touchées pourraient comprendre les noms, les dates de naissance, les numéros de sécurité sociale, les informations relatives au permis de conduire et les informations de santé. Les données concernées peuvent varier d’une personne à l’autre : la notification individuelle reste donc la meilleure source pour savoir précisément quelles données d’un destinataire ont pu être exposées.

L’entreprise a déclaré que la plateforme de gestion du capital humain iSolved n’avait pas été touchée. Cette distinction est importante : l’incident s’est limité à certains systèmes d’Alcott et ne doit pas être interprété comme une confirmation que toutes les données fiscales, relatives aux avantages sociaux ou bancaires conservées sur cette plateforme ont été compromises.

Un nom associé à une date de naissance et à un numéro de sécurité sociale peut accroître les risques d’usurpation d’identité, d’ouverture frauduleuse de comptes et de fraude au crédit. Les informations relatives au permis de conduire peuvent aussi être utilisées dans des tentatives de fraude lors de vérifications d’identité.

Les informations de santé sont sensibles du point de vue de la vie privée, même en l’absence de perte financière. Les renseignements personnels peuvent également rendre les messages d’hameçonnage plus convaincants. Il convient donc de vérifier soigneusement tout appel ou message inattendu prétendant concerner cet incident.

Si vous avez reçu une lettre, commencez par la lire pour identifier les types de données qui y sont indiqués dans votre cas. Aux États-Unis, il peut être pertinent de consulter régulièrement vos rapports de crédit, de vérifier les comptes ou les demandes que vous ne reconnaissez pas et d’envisager une alerte à la fraude ou un gel de votre dossier de crédit.

L’avis officiel d’Alcott propose 24 mois de protection contre l’usurpation d’identité et fixe au 15 septembre 2026 la date limite d’inscription. Pour vous inscrire, utilisez uniquement l’avis officiel de l’entreprise ou les coordonnées figurant dans la lettre qui vous a été directement adressée.

En complément de la vérification de vos opérations bancaires et de vos paiements par carte, il est utile de surveiller les nouvelles consultations de votre dossier de crédit et les alertes de vérification d’identité. Si vous constatez un élément que vous ne reconnaissez pas, contactez l’organisme concerné par un canal officiel connu et conservez une trace de votre signalement.

Les mots de passe ne figurent pas parmi les types de données mentionnés dans l’avis public. L’incident ne suffit pas, à lui seul, à établir qu’une fuite de mots de passe a eu lieu. Toutefois, l’activation de l’authentification multifacteur sur votre messagerie peut contribuer à vous protéger contre des messages convaincants élaborés à partir de renseignements personnels exposés.

Il est plus sûr de vérifier l’adresse par un moyen indépendant plutôt que de suivre les liens de messages prétendant provenir d’Alcott, d’un bureau de crédit ou d’un prestataire de protection contre l’usurpation d’identité. Ne communiquez jamais un numéro de sécurité sociale complet, un code de vérification ou le mot de passe d’un compte lors d’un appel inattendu.

Les éléments confirmés sont la date de l’incident, le 12 février 2025, le total national de 76 098 personnes touchées et les catégories de données concernées : noms, dates de naissance, numéros de sécurité sociale, informations relatives au permis de conduire et informations de santé. Alcott a déclaré n’avoir trouvé aucune preuve d’utilisation abusive; cette déclaration ne garantit pas qu’une telle utilisation ne se produira jamais.