Violation de données chez Fairmont FCU (187 038 personnes touchées)

L’accès non autorisé a eu lieu entre le 30 septembre et le 18 octobre 2023. L’organisation a pris connaissance de l’incident le 23 janvier 2024 et, à l’issue de son examen, a déterminé vers le 17 août 2025 que les fichiers concernés pouvaient contenir des informations personnelles.

L’envoi des notifications aux personnes concernées a commencé le 11 septembre 2025. Ces dates permettent de distinguer la période de l’incident des étapes ultérieures d’enquête et de notification.

Selon l’avis officiel de l’organisation, un tiers non autorisé a accédé à certains fichiers du réseau et les a obtenus. La méthode utilisée pour pénétrer dans le système et la voie d’accès technique n’ont pas été divulguées.

Les sources officielles ne confirment ni l’identité d’un acteur malveillant, ni un type de logiciel malveillant, ni l’utilisation d’un rançongiciel. Au vu des éléments vérifiés, l’incident est donc classé uniquement comme un accès non autorisé au réseau et aux fichiers.

Selon les personnes, les fichiers pouvaient contenir des noms, des adresses, des dates de naissance, des numéros de sécurité sociale, des informations de passeport, des numéros de permis de conduire et d’autres numéros d’identification délivrés par les autorités.

Les données potentiellement présentes comprenaient également des numéros de comptes financiers et des numéros d’acheminement bancaire, des coordonnées bancaires, des numéros de cartes de paiement, des codes de sécurité ou des codes PIN, ainsi que des informations médicales, relatives aux prescriptions, aux dossiers médicaux et à l’assurance maladie. L’avis officiel indique aussi que certains fichiers pouvaient contenir des identifiants d’accès, des questions et réponses de sécurité et des signatures numériques.

Le procureur général du Texas fait état de 187 038 personnes touchées à l’échelle nationale, dont 1 206 résidents du Texas. Le nombre de personnes touchées au Texas est compris dans le total national et ne s’y ajoute pas.

Les informations d’identité et les données financières peuvent faciliter l’usurpation d’identité, l’ouverture frauduleuse de comptes, la fraude fiscale ou des tentatives de paiement non autorisé. Les données de santé et d’assurance peuvent aussi rendre les messages d’hameçonnage plus convaincants ou créer un risque de fraude dans le domaine de la santé.

L’organisation a déclaré qu’à la date de l’avis, elle n’avait connaissance d’aucun cas d’usurpation d’identité ou de fraude financière résultant de l’incident. Le niveau de risque dépend néanmoins des catégories de données précises mentionnées dans la notification adressée à chaque personne.

La coopérative de crédit a déclaré avoir sécurisé son système, mené une enquête avec des spécialistes externes en cybersécurité et examiné manuellement les fichiers. Elle a proposé gratuitement des services de surveillance du crédit et de protection de l’identité aux personnes dont les numéros de sécurité sociale étaient concernés.

Si vous avez reçu une notification, vérifiez régulièrement les opérations sur vos comptes bancaires et vos cartes, vos rapports de crédit et vos relevés d’assurance maladie. Si vous repérez une opération, un compte ou une prestation que vous ne reconnaissez pas, contactez rapidement l’établissement concerné par un canal officiel.

Le gel gratuit d’un dossier de crédit ou la mise en place d’une alerte à la fraude peuvent réduire le risque d’usurpation d’identité. Si votre notification personnelle indique que vos identifiants d’accès ont été touchés, définissez des mots de passe uniques pour les comptes sur lesquels vous utilisiez les mêmes identifiants et activez l’authentification multifacteur.