Violation de données d’Easypak en 2026

La source principale est la lettre officielle « Informations importantes » de G-Pak Holdings LLC dba Easypak, conservée dans les archives des notifications aux consommateurs du Massachusetts. Elle décrit directement la découverte du 13 janvier, les mesures de sécurité des systèmes, l’enquête menée avec des spécialistes externes, le résultat de l’analyse des données du 8 juin, la surveillance gratuite du crédit et la ligne d’assistance dédiée au 978-537-5683, poste 1003.

Claim Depot relie le document officiel déposé au profil de l’entreprise Easypak et fait état d’au moins 217 résidents du Massachusetts touchés, ainsi que des catégories de données d’identité, financières et médicales signalées. Cette source rapporte également que le groupe cybercriminel Akira, spécialisé dans les rançongiciels, a revendiqué le 29 janvier le vol de 67 GB de données. La lettre publique d’Easypak ne confirme ni le nom du groupe, ni l’utilisation d’un rançongiciel, ni le volume de 67 GB. LeakData attribue donc clairement ces éléments aux déclarations de l’auteur de la menace.

Easypak a découvert un accès non autorisé à son réseau informatique le 13 janvier ou aux alentours de cette date. L’organisation a pris des mesures pour sécuriser ses systèmes et a travaillé avec des professionnels externes expérimentés en cybersécurité afin de déterminer toute l’étendue de l’incident et les données concernées. Le 8 juin, l’enquête a établi que certains fichiers contenant des informations personnelles avaient pu faire l’objet d’un accès non autorisé le 13 janvier.

La lettre officielle ne précise pas le mode d’accès initial, la durée exacte de l’incident, si une exfiltration de données a été confirmée, l’identité de l’auteur de la menace ou si les systèmes ont été chiffrés. Les affirmations concernant Akira et les 67 GB dans la source secondaire sont attribuées à l’auteur de la menace, et non à Easypak. Les éléments vérifiés de cette fiche se limitent donc à un accès non autorisé au réseau et à un éventuel accès à des fichiers; l’attribution de l’incident à un rançongiciel n’est pas présentée comme un fait établi.

Le modèle de lettre officiel indique que les fichiers concernés contenaient le nom complet du destinataire et un autre champ d’informations personnelles identifiables (PII), renseigné individuellement pour cette personne. La synthèse réglementaire renvoyant à la source précise que les catégories variables comprennent les numéros de sécurité sociale, les informations relatives au permis de conduire, les informations de comptes financiers et les dossiers médicaux. Il ne faut pas supposer que toutes ces catégories étaient présentes pour chaque destinataire; seule la lettre individuelle fait foi quant à la liste des données concernées.

Les documents publics ne confirment pas séparément la présence d’adresses e-mail, de mots de passe, d’empreintes de mots de passe, de noms d’utilisateur, de noms de banques, de numéros d’acheminement bancaire, de soldes, de cartes de paiement, de codes CVV, de codes PIN, de diagnostics, de traitements, d’ordonnances, de numéros de contrat d’assurance ou de numéros de dossier médical. « Compte financier » et « Dossiers médicaux » sont des catégories générales. Ajouter des sous-catégories absentes des sources amplifierait artificiellement le risque décrit.

Un nom associé à un numéro de sécurité sociale (SSN) ou à une information relative au permis de conduire peut faciliter une ouverture de compte frauduleuse, une usurpation d’identité à des fins fiscales ou des demandes ciblées présentées comme des vérifications d’identité. Si votre notification mentionne des informations de comptes financiers, surveillez les opérations inconnues, les nouveaux bénéficiaires et les modifications de coordonnées. La présence d’une catégorie dans la liste générale de l’incident ne prouve ni qu’elle concernait chaque personne, ni qu’une utilisation abusive a eu lieu.

La présence de données relevant des dossiers médicaux peut rendre plus convaincants des appels frauduleux de personnes se faisant passer pour des prestataires de soins ou des messages de facturation trompeurs. Vérifiez directement auprès de l’établissement concerné toute prestation, tout prestataire ou toute modification que vous ne reconnaissez pas dans un décompte de prestations ou un portail patient. Ne communiquez pas votre SSN complet, vos informations de compte ou un code à usage unique à un interlocuteur qui vous contacte de manière inattendue en prétendant représenter Easypak, un prestataire de surveillance du crédit ou un organisme de santé.

Easypak a déclaré avoir sécurisé ses systèmes, effectué une analyse approfondie avec des professionnels externes en cybersécurité et poursuivi l’évaluation et l’amélioration de ses mesures de sécurité et de protection de la vie privée. À la date de la lettre, l’entreprise ne disposait d’aucun élément indiquant que des informations personnelles avaient été utilisées pour une fraude financière ou une usurpation d’identité. Ce constat ne vaut qu’à cette date et ne garantit pas l’absence d’utilisation abusive ultérieure.

L’organisation a proposé une surveillance gratuite du crédit et fourni des instructions pour mettre en place des alertes à la fraude, geler les dossiers de crédit et obtenir des rapports de crédit gratuits. Sa ligne dédiée est accessible pendant 90 jours à compter de la date de chaque lettre, du lundi au vendredi, de 8 h à 20 h, heure de l’Est. Les conseils généraux de l’annexe concernant les SSN et l’usurpation d’identité médicale sont préventifs et ne prouvent pas que chaque destinataire était concerné par toutes les catégories.

Les sources réglementaires établissent qu’au moins 217 résidents du Massachusetts ont été touchés, mais ne révèlent pas le total national. Ce chiffre constitue donc un minimum vérifié; les effectifs d’Easypak ou le nombre de ses clients ou fournisseurs ne doivent pas être utilisés comme nombre de victimes.

Commencez par identifier les données exactes mentionnées dans votre lettre individuelle. Si un SSN ou une information relative au permis de conduire y figure, envisagez un gel du dossier de crédit et une alerte à la fraude. Si des informations de comptes financiers sont mentionnées, surveillez votre compte auprès de l’établissement concerné et discutez avec celui-ci de l’opportunité d’un changement de compte. Le cas échéant, vérifiez les prestations médicales que vous ne reconnaissez pas. Si vous n’avez reçu aucune notification, ne supposez pas que vous avez été touché sur la seule base de cette fiche publique. La revendication d’Akira ne doit pas non plus être considérée comme une attribution confirmée par Easypak.