Violation de données chez un prestataire de services d’Ericsson aux États-Unis en 2025

Le modèle de notification d’Ericsson déposé auprès du procureur général de Californie explique que le prestataire conservait des informations personnelles concernant des salariés et des clients d’Ericsson et que certains fichiers avaient pu être consultés ou obtenus sans autorisation. Le document du procureur général du Maine indique un total de 15 661 personnes concernées. Ces documents attestent d’une violation chez un tiers signalée par l’entreprise, et non d’une simple allégation d’un attaquant.

BleepingComputer a comparé les déclarations réglementaires et publié la période d’accès, les dates de l’enquête, le nombre de personnes concernées ainsi que les catégories de données mentionnées dans le rapport du Texas. Un porte-parole d’Ericsson n’a fourni aucun détail au-delà du contenu de la lettre.

Selon les personnes, les déclarations déposées auprès des États mentionnent des noms, des adresses postales, des numéros de sécurité sociale, des numéros de permis de conduire et des numéros de documents d’identité officiels, tels que des passeports ou des cartes d’identité délivrées par un État. Elles mentionnent également des informations financières, comme des numéros de compte et de cartes de crédit ou de débit, des informations médicales et des dates de naissance. Il ne faut pas supposer que chaque type de données figurait dans les fichiers pour l’ensemble des 15 661 personnes.

Ces données peuvent permettre une usurpation d’identité, l’ouverture frauduleuse de comptes, la prise de contrôle de comptes et des escroqueries ciblées. Comme la déclaration réglementaire décrit les informations financières en termes généraux, LeakData n’en déduit pas la présence de codes PIN, de codes CVV, de mots de passe ou de questions de sécurité. Les informations médicales restent elles aussi une catégorie générale, car aucun détail sur un diagnostic, un traitement ou une prescription en particulier n’a été divulgué.

Le système concerné appartenait à un prestataire de services qui conservait des données sur les salariés et les clients pour le compte d’Ericsson; il ne s’agissait pas du réseau principal de l’entreprise. Ericsson Inc. a néanmoins un lien direct avec les données et les notifications envoyées aux victimes. LeakData rattache donc cet événement aux activités d’Ericsson aux États-Unis, tout en indiquant clairement qu’il trouve son origine chez un prestataire de services tiers.

Le prestataire n’a pas été nommé dans l’avis public. Cette omission ne justifie ni de supposer l’identité d’un fournisseur ni d’associer automatiquement d’autres clients potentiels à l’incident. Cette fiche couvre uniquement le périmètre confirmé pour les salariés et les clients d’Ericsson dans les documents réglementaires et ne considère pas que l’ensemble des effectifs mondiaux de la société mère a été touché.

Le nombre de personnes ou d’enregistrements concernés publié par la source officielle représente l’étendue déclarée de l’incident. Cela ne signifie pas que chaque catégorie de données divulguée concernait chaque personne. Ce chiffre n’a pas été déduit des effectifs mondiaux approximatifs d’Ericsson, de sa clientèle ou du volume de fichiers stockés. Le total indiqué dans le document de l’État est retenu de préférence aux chiffres arrondis des titres de presse évoquant plus de 15 000 personnes.

Ce total ne signifie pas que chaque catégorie de données était présente 15 661 fois. Les notifications indiquent que les données pouvaient varier d’une personne à l’autre et que les fichiers concernaient à la fois des salariés et des clients.

Le prestataire a averti le FBI, fait appel à des spécialistes externes en cybersécurité et examiné les fichiers concernés. Ericsson a proposé aux personnes informées une protection de l’identité IDX, une surveillance du crédit, une surveillance du dark web, une assistance pour remédier aux conséquences d’une usurpation d’identité et une couverture permettant le remboursement des pertes liées à une fraude à l’identité, à hauteur d’un million de dollars maximum. Le prestataire a déclaré n’avoir trouvé aucune preuve d’utilisation abusive au moment de la notification.

Les personnes concernées devraient s’inscrire à la protection proposée avant la date limite, examiner leurs rapports de crédit et les opérations sur leurs comptes bancaires ou leurs cartes, et contester les demandes de crédit qu’elles ne reconnaissent pas. Celles dont les données de sécurité sociale ou de documents d’identité officiels étaient concernées peuvent envisager de mettre en place une alerte à la fraude ou un gel du crédit. L’affirmation selon laquelle aucune utilisation abusive n’a été détectée n’exclut pas un risque futur.

L’événement a été découvert le 28 avril, l’examen des données s’est achevé le 23 février 2026 et les notifications publiques ont suivi en mars 2026. Cet intervalle ne signifie pas qu’une attaque s’est poursuivie sans interruption; il correspond au temps nécessaire pour examiner les fichiers et identifier les personnes concernées.

Le total vérifié est de 15 661 salariés et clients d’Ericsson Inc. Selon les personnes, les données peuvent comprendre des noms, des adresses, des numéros de sécurité sociale, des permis de conduire et d’autres documents d’identité officiels, des informations financières, des informations médicales et des dates de naissance. L’identité du prestataire et de l’attaquant, ainsi que la méthode exacte d’accès, n’ont pas été divulguées; cette fiche ne formule donc aucune hypothèse à leur sujet.