Violation de données de CNO Services (au moins 530 personnes)

L’incident a commencé par des appels téléphoniques frauduleux adressés à un petit groupe de collaborateurs par des personnes se faisant passer pour le service d’assistance informatique de l’entreprise. La plupart des collaborateurs ont reconnu le caractère frauduleux des appels ou les ont signalés aux services compétents, mais l’un de ces appels a permis un accès non autorisé limité aux systèmes de l’entreprise. CNO a détecté cette activité le jour même. Les documents publics n’identifient pas l’auteur de l’attaque, ne précisent pas la méthode technique employée et ne recensent pas tous les systèmes auxquels il a accédé.

Le registre du Texas mentionne les noms, les numéros de sécurité sociale et les dates de naissance. Dans le modèle de notification de CNO, le champ propre au destinataire est masqué : il ne faut donc pas supposer que ces trois catégories de données étaient toutes concernées pour chaque personne. L’entreprise a déclaré que son enquête n’avait révélé aucun élément indiquant que des informations sur les clients avaient été consultées ou que les données personnelles concernées avaient été utilisées à des fins malveillantes.

CNO a ouvert une enquête pour déterminer l’étendue de l’incident, fait appel à des spécialistes externes de la cybersécurité et de l’investigation numérique, et signalé l’incident aux autorités fédérales chargées de l’application de la loi. Elle a proposé aux personnes concernées des services de protection de l’identité, de surveillance du crédit et d’assistance après une usurpation d’identité par l’intermédiaire d’IDX. La durée des services et les instructions d’activation pouvant varier selon les vagues de notification, les destinataires doivent suivre les modalités indiquées dans leur propre courrier.

Si vous recevez une notification au nom de CNO Services ou de CNO Financial Group, vérifiez dans votre courrier quelles données personnelles sont concernées et quelle est la date limite d’inscription aux services d’IDX. Si un numéro de sécurité sociale est concerné, vous pouvez surveiller vos rapports de crédit; un gel gratuit de votre dossier de crédit, une alerte à la fraude ou un code IRS Identity Protection PIN peuvent également être indiqués. Ne communiquez jamais de mots de passe ni de codes à usage unique à une personne qui vous appelle à l’improviste en se présentant comme un membre de l’assistance informatique, et ne lui accordez jamais d’autorisation d’accès à distance. Vérifiez séparément son identité par un canal officiel de l’entreprise.