Violation de données chez AssuranceAmerica en 2026

Selon le modèle de notification d’AssuranceAmerica, l’attaque visait l’un des employés de l’entreprise. Un tiers non autorisé a accédé à certaines parties des systèmes informatiques de l’organisation et a copié plusieurs fichiers de données.

Les documents publics ne permettent pas d’établir précisément comment l’employé a été ciblé ni comment les identifiants ont été obtenus. Sans preuves supplémentaires, la méthode d’accès initial ne doit donc pas être présentée comme un vol de mot de passe, l’utilisation d’un logiciel malveillant ou toute autre technique précise.

Après avoir détecté l’activité, l’entreprise a désactivé les serveurs concernés, lancé une enquête avec des spécialistes externes en investigation numérique et informé les forces de l’ordre. L’examen des fichiers s’est achevé le 15 juin 2026.

Le rapport du procureur général de l’Indiana mentionne, pour ce même incident, la date de notification du 10 juillet 2026, 237 141 résidents de l’Indiana touchés et 6 998 886 personnes touchées dans l’ensemble du pays. Ce dernier chiffre correspond au nombre total déclaré de personnes touchées.

La notification officielle indique qu’en plus des noms, les fichiers pouvaient contenir, selon les personnes, des coordonnées, des informations sur les contrats d’assurance automobile ou les comptes d’assurance, des informations sur les conducteurs ou les véhicules, ainsi que des informations relatives aux sinistres.

Pour certaines personnes, des numéros de permis de conduire, des informations relatives à l’identifiant fiscal ou des numéros de sécurité sociale ont également pu être concernés. Les catégories de données variaient selon les destinataires : il ne faut donc pas supposer que l’ensemble de cette liste s’applique à chaque personne touchée.

Un numéro de permis de conduire, un identifiant fiscal ou un numéro de sécurité sociale, associé à un nom et à des coordonnées, peut accroître les risques d’usurpation d’identité, d’ouverture frauduleuse de comptes et d’escroqueries ciblées convaincantes.

Les détails des contrats, des véhicules et des sinistres peuvent rendre plus crédibles des messages usurpant l’identité d’un assureur, d’un agent d’assurance ou d’une administration. Un message contenant des informations exactes sur un contrat ou un véhicule n’est pas nécessairement authentique.

Les destinataires d’une notification doivent se référer aux types de données indiqués dans leur propre courrier, examiner régulièrement leurs rapports de crédit et les demandes liées à l’ouverture de nouveaux comptes, et vérifier rapidement toute transaction qu’ils ne reconnaissent pas.

AssuranceAmerica a proposé aux personnes touchées une surveillance du crédit et une protection de l’identité gratuites pendant 12 mois. Utilisez uniquement les modalités d’inscription figurant dans la notification qui vous a été envoyée directement ou communiquées par un canal officiel vérifié de l’entreprise.

Ne communiquez jamais votre numéro de sécurité sociale complet, votre numéro de permis de conduire, votre mot de passe ou un code de vérification lors d’un appel non sollicité. Vérifiez les demandes concernant un contrat ou un sinistre à l’aide des coordonnées imprimées sur la carte ou publiées sur le site officiel.

Le périmètre confirmé comprend un accès non autorisé commencé le 16 mars 2026 et détecté le lendemain, 6 998 886 personnes touchées, ainsi que des informations d’identité, de contact, relatives aux véhicules et à l’assurance, dont la nature variait selon les destinataires. Les documents publics ne permettent pas d’établir avec certitude si les informations concernées par l’incident ont été utilisées à des fins abusives.