Violation de données chez Family Partnerships of Central Florida en 2025

La source primaire la plus probante est le document « Avis relatif à un incident de données » publié par l’organisme sur fpocf.org. Il décrit directement les dates de l’accès non autorisé, la copie et l’extraction d’informations, l’enquête, les catégories d’informations concernées, les mesures de sécurité prises et la ligne d’assistance dédiée. L’avis de l’organisme lui-même permet d’établir que l’événement ne relève pas d’une simple allégation et constitue la preuve centrale.

Une lettre adressée aux personnes concernées, datée du 17 juillet 2026 et conservée dans les archives du procureur général du Massachusetts, corrobore l’identité de l’organisme, le processus de notification, la déclaration concernant une utilisation abusive et l’offre de protection de 24 mois. Claim Depot rattache les documents officiels au même événement et récapitule le nombre de personnes concernées déclaré pour le Massachusetts et le Vermont. Les trois sources concordent sur les faits essentiels.

Family Partnerships a déclaré avoir été informé qu’un tiers non autorisé avait divulgué en ligne des données appartenant à l’organisme. Une enquête menée avec des spécialistes externes en investigation numérique a établi qu’un acteur non autorisé avait accédé à certains systèmes entre le 4 décembre 2025 et le 2 janvier 2026, et avait copié ou extrait des informations qui y étaient stockées. L’organisme a ensuite examiné les documents pour identifier les personnes et les types de données concernés.

Les sources ne précisent pas si l’accès initial résultait d’un hameçonnage, d’un mot de passe volé, d’un service exposé ou d’une vulnérabilité logicielle. Claim Depot rapporte qu’un groupe nommé Money Message a revendiqué la responsabilité de l’incident le 28 janvier, mais l’avis officiel de l’organisme ne confirme pas l’implication de cet acteur. Cette revendication n’est donc retenue ni comme une attribution officielle ni comme la cause technique de l’incident.

La liste exacte figurant dans l’avis officiel de l’organisme comprend le nom, la date de naissance, le numéro de sécurité sociale, le numéro de permis de conduire ou de pièce d’identité délivrée par un État, les informations sur des comptes financiers et les données de santé à caractère personnel. L’avis indique que ces catégories figuraient dans les fichiers concernés; il ne dit pas que chaque destinataire était concerné par toutes les catégories. La liste des champs figurant dans la lettre individuelle précise davantage les données touchées pour cette personne.

Les sources ne mentionnent pas séparément les adresses postales, les adresses e-mail, les mots de passe, les codes CVV des cartes, les codes PIN bancaires, les diagnostics médicaux, les prescriptions, les résultats de laboratoire ou les numéros d’adhérent à une assurance parmi les champs confirmés. Les « informations sur des comptes financiers » et les « données de santé à caractère personnel » sont des catégories larges; les détailler en sous-catégories non documentées donnerait une image inexacte du risque. LeakData ne répertorie que les catégories publiées.

Les chiffres publics issus des notifications aux États pour cet incident font état de 89 personnes dans le Massachusetts et de deux dans le Vermont. Le total de 91 correspond uniquement aux cas étayés dans ces deux États; il est donc enregistré comme un minimum. L’organisme est basé en Floride et n’a pas publié de nombre total de victimes à l’échelle nationale après dédoublonnage. Présenter la somme des chiffres de ces deux États comme le total exact de l’incident serait trompeur.

Le nombre d’enfants, de familles, d’employés ou de partenaires accompagnés par l’organisme ne peut pas tenir lieu de nombre de victimes. Le volume de données revendiqué par un acteur ne peut pas non plus être converti en nombre de personnes distinctes.

Family Partnerships a déclaré avoir sécurisé son environnement informatique après avoir pris connaissance de l’incident, enquêté sur l’activité avec des spécialistes externes et examiné les fichiers concernés. L’organisme a également indiqué qu’il réexaminait les politiques, procédures et processus régissant le stockage des informations sensibles et l’accès à celles-ci. Au moment de la notification, il a déclaré n’avoir relevé aucun indice d’utilisation abusive, effective ou tentée, des informations concernées.

La lettre adressée aux personnes concernées dans le Massachusetts indique que les personnes éligibles se sont vu proposer gratuitement, par l’intermédiaire de Cyberscout, 24 mois de surveillance du crédit auprès d’une seule agence d’évaluation du crédit, un rapport de crédit, un score de crédit et une assistance en cas de fraude. Pour s’inscrire, il faut utiliser le code unique figurant dans la lettre dans les 90 jours suivant sa date. La ligne d’assistance au 1-855-302-7461 est ouverte du lundi au vendredi, de 8 heures du matin à 8 heures du soir, heure de l’Est, sauf les jours fériés aux États-Unis.

Si vous avez reçu une notification, vérifiez d’abord les champs indiqués dans votre avis individuel. Si un SSN ou une pièce d’identité officielle a été touché, envisagez de demander gratuitement le gel de votre dossier auprès des trois agences d’évaluation du crédit, de mettre en place une alerte à la fraude et d’obtenir un code IRS IP PIN. Pour les informations sur des comptes financiers, examinez les transactions et les instructions de paiement qui ne vous sont pas familières; pour les données de santé, vérifiez les relevés de prestations, les dossiers des prestataires de soins et toute prestation de soins que vous ne reconnaissez pas.

Le contexte des services aux enfants et aux familles peut aider des criminels à préparer des appels ou des messages ciblés concernant des mises à jour de documents, des prestations ou des versements d’aides. Accédez vous-même à fpocf.org et au canal officiel indiqué dans l’avis, plutôt que de suivre un lien reçu. Ne communiquez pas à une personne qui vous appelle un mot de passe, votre SSN complet, un code de vérification bancaire ou un code à usage unique au seul motif qu’elle connaît un nom réel, un lien avec un service ou un champ de données touché.