Violation de données de Ciox / Datavant (320 702 personnes)

Datavant a détecté une activité suspecte dans son environnement de messagerie le 9 mai 2024. Son enquête a établi que des messages d’hameçonnage avaient été envoyés à un nombre limité d’utilisateurs et que la réponse d’un employé avait permis à un attaquant d’accéder à un seul compte de messagerie du 8 au 9 mai.

L’entreprise a examiné les messages et les pièces jointes concernés pour identifier les personnes et les responsables du traitement des données entrant dans le périmètre de l’incident. Les parties et les personnes concernées ont été informées une fois ce travail terminé.

Les catégories de données variaient selon les personnes. Les données signalées comme concernées comprenaient les noms, les dates de naissance, les adresses et les coordonnées, ainsi que les numéros de sécurité sociale.

Pour certaines personnes, des informations sur les comptes financiers, des numéros de permis de conduire et de passeport, des données de santé, des identifiants de connexion à des comptes et des signatures numériques ont également pu être concernés. Les personnes touchées n’étaient pas toutes concernées par chacune de ces catégories.

La fiche actuelle du registre des violations de données du bureau des droits civils du HHS fait état de 320 702 personnes touchées. Les notifications précédentes indiquaient des totaux provisoires plus faibles; cette fiche du catalogue utilise le total fédéral actualisé pour le même événement et n’y ajoute pas séparément les chiffres antérieurs.

Les numéros de sécurité sociale, associés aux dates de naissance et aux adresses, peuvent accroître le risque d’usurpation d’identité ou de demandes frauduleuses d’ouverture de compte. Les informations relatives aux comptes financiers et aux pièces d’identité officielles peuvent également être utilisées dans des tentatives de fraude.

Les données de santé et les éléments de contexte tirés des courriels dérobés peuvent aider un attaquant à se faire passer pour une entreprise, un prestataire de soins ou un établissement financier dans un message convaincant. Toute communication inattendue doit être vérifiée par un canal officiel indépendant.

Datavant a déclaré avoir mené une enquête forensique, reconfiguré les paramètres de sécurité de la messagerie, mis en place des mesures techniques de protection supplémentaires et mis à jour les règles de ses logiciels de sécurité. Des services de surveillance et de protection de l’identité ont été proposés aux personnes éligibles.

Les personnes ayant reçu une notification peuvent surveiller leurs dossiers de crédit et leurs comptes financiers pour repérer toute activité inhabituelle. Si un numéro de sécurité sociale était concerné, un gel du dossier de crédit ou une alerte à la fraude peut être approprié.

Avant d’ouvrir des liens dans une demande inattendue qui utilise des informations provenant de pièces d’identité ou des données de santé, les destinataires doivent vérifier l’identité de l’expéditeur de manière indépendante. Toute suspicion d’utilisation abusive à des fins financières ou médicales, ou d’usurpation d’identité, doit être signalée directement à l’organisme concerné.