Fuite de données chez Decisely 2024

Dans le cadre de l’incident Decisely de 2024, les données susceptibles d’être exposées comprennent le nom et le prénom, la date de naissance, le numéro de téléphone, le numéro de passeport, la signature numérique, le numéro de sécurité sociale et les informations relatives aux comptes financiers. Les annonces de l’organisation mentionnant des données personnelles et des informations de santé protégées, l’incident présente également un risque pour des dossiers sensibles liés aux avantages sociaux et à la santé. Toutefois, les champs supplémentaires qui ne sont pas explicitement énumérés dans cette fiche, tels que l’assurance maladie, n’ont pas été retenus comme catégories de données.

Les numéros de sécurité sociale et de passeport étant des données d’identité permanentes, ils peuvent être détournés pour des demandes de crédit, l’ouverture frauduleuse de comptes, des fraudes dans le cadre de démarches officielles et des procédures de vérification d’identité. Les signatures numériques sont des éléments sensibles qui peuvent être utilisés pour simuler des documents ou des autorisations. Les personnes dont les informations de compte financier sont concernées doivent surveiller attentivement les opérations bancaires, les instructions de paiement automatique et les demandes de modification de compte. Combinés à d’autres informations, les numéros de téléphone et les dates de naissance créent des risques supplémentaires de fraude ciblée et de détournement des procédures de vérification d’identité.

Cette fiche retient le 16 décembre 2024 comme date de la violation et le 17 décembre 2024 comme date de détection de l’incident. Les notifications ont commencé vers le 13 juin 2025, et le nombre de personnes concernées a augmenté par la suite. Les premières notifications relatives aux données de santé rendues publiques mentionnaient 65 405 personnes, tandis que le bilan le plus récemment actualisé faisait état de 537 603 personnes. La fiche utilise donc ce nombre élargi plutôt que le chiffre initial. Le texte précise qu’il ne s’agit pas d’un décompte d’enregistrements, mais du nombre de personnes touchées dans le cadre de l’incident.

Les types de données concernés peuvent varier d’une personne à l’autre. Pour certaines, seuls quelques champs, comme le nom et le numéro de téléphone, peuvent être concernés; pour d’autres, il peut s’agir du numéro de sécurité sociale, du numéro de passeport, de la signature numérique ou d’informations relatives aux comptes financiers. La fiche porte sur le processus de notification mené par l’intermédiaire des services de Decisely et des détenteurs des données concernés. Une acquisition non autorisée de données depuis l’environnement de stockage cloud ayant été alléguée, le risque ne se limite pas à une éventuelle consultation : il inclut aussi la possibilité que certaines informations aient été obtenues.

Le principal groupe à risque comprend les petites entreprises clientes de Decisely, les employeurs, les prestataires de régimes d’avantages sociaux et les personnes dont les dossiers sont traités dans le cadre des processus de ressources humaines et de paie. Une personne peut ne pas connaître le nom Decisely, car son dossier peut provenir de son employeur, de son prestataire d’avantages sociaux, d’un service de retraite, du traitement de la paie ou d’un programme de santé ou d’avantages sociaux. Les personnes ayant reçu une notification doivent donc tenir compte non seulement de l’existence éventuelle d’un compte Decisely, mais aussi de leurs employeurs et des régimes d’avantages sociaux auxquels elles ont été affiliées.

Les personnes dont le numéro de sécurité sociale ou de passeport est concerné présentent un risque accru d’usurpation d’identité. Celles dont les informations de compte financier sont concernées doivent examiner régulièrement leurs opérations bancaires et leurs paiements. Les personnes dont la signature numérique est concernée doivent être vigilantes face aux formulaires, aux documents d’autorisation ou aux demandes de modification de compte établis en leur nom. Celles dont le numéro de téléphone et la date de naissance sont concernés doivent se méfier des appels et des messages se présentant comme provenant d’un employeur, d’un assureur, d’un service de paie ou de retraite, ou invoquant une mise à jour des avantages sociaux.

Les personnes susceptibles d’avoir été touchées par la violation de données de Decisely en 2024 doivent d’abord vérifier les types de données mentionnés dans la notification reçue. Si celle-ci inclut un numéro de sécurité sociale ou de passeport, elles doivent obtenir un rapport de crédit et envisager des mesures telles qu’un gel du crédit ou une alerte à la fraude. Si des informations de compte financier sont concernées, les opérations bancaires, les instructions de paiement automatique et les ouvertures de nouveaux comptes doivent être surveillées régulièrement. Si une signature numérique est concernée, les modifications de compte et les demandes d’autorisation doivent également être vérifiées.

Les personnes dont le numéro de téléphone et la date de naissance sont connus ne doivent pas cliquer sur des liens inattendus reçus sous prétexte de renouvellement des avantages sociaux, de formulaires de l’employeur, de corrections de paie, de régimes de retraite ou de protection de l’identité. Pour les échanges légitimes, il convient d’utiliser les canaux officiels indiqués dans la notification ou connus par d’autres moyens. Les salariés et anciens salariés doivent demander au service des ressources humaines de leur employeur de préciser quelle personne concernée est à l’origine de la notification et quel régime est touché. Lorsque les risques financiers et les risques liés à l’identité se cumulent, les démarches correspondantes doivent être menées en parallèle.

Dans cet incident, la protection doit s’inscrire dans la durée, car des données d’identité, de passeport, de signature numérique et de compte financier peuvent être mentionnées dans un même ensemble de notifications. Un changement de mot de passe peut être utile pour les comptes d’avantages sociaux ou de paie. En revanche, les numéros de sécurité sociale, les numéros de passeport et les signatures numériques sont des informations permanentes ou difficiles à modifier. Les utilisateurs doivent examiner leurs rapports de crédit à intervalles réguliers, rester attentifs au risque de demandes frauduleuses pendant les périodes fiscales et utiliser des alertes pour détecter rapidement l’ouverture de nouveaux comptes.

Du côté des employeurs et des régimes d’avantages sociaux, une vigilance particulière s’impose pendant la période d’adhésion aux régimes d’avantages sociaux, ainsi que lors des modifications de paie, des cotisations de retraite, des changements de compte bancaire et des mises à jour des informations sur les personnes à charge. Les utilisateurs doivent accéder directement au portail de leur employeur à partir d’une adresse connue et ne pas considérer les liens reçus par e-mail ou par message comme fiables en eux-mêmes. Lors d’incidents impliquant des prestataires techniques comme Decisely, les utilisateurs peuvent ne pas connaître le nom de l’entreprise. Il faut donc examiner conjointement l’employeur, le détenteur des données, la date et les types de données mentionnés dans la notification.

La vérification proposée sur cette page permet aux utilisateurs de consulter des enregistrements contenant des données d’identité, d’avantages sociaux, financières et de santé protégées qui pourraient être liés à la violation de données de Decisely en 2024. Une correspondance ne signifie pas que tous les types de données énumérés ont été exposés pour une même personne. Les utilisateurs doivent se référer aux champs mentionnés dans leur propre notification et au lien avec un employeur ou un régime d’avantages sociaux par lequel ils ont été touchés.

Les utilisateurs pour lesquels une correspondance est trouvée doivent traiter en priorité les risques liés aux données permanentes et aux usages frauduleux difficiles à interrompre. Il est important de vérifier les demandes de crédit et les démarches officielles pour les numéros de sécurité sociale et les passeports, les opérations bancaires pour les informations de compte financier, les autorisations et les formulaires pour les signatures numériques, ainsi que les dossiers des programmes d’avantages sociaux et de santé pour les informations de santé protégées. La violation de données de Decisely en 2024 est un incident majeur de sécurité des données chez un prestataire tiers. Elle montre que les données détenues par les prestataires d’avantages sociaux et de ressources humaines au service des petites entreprises peuvent faire peser des risques individuels à grande échelle.