Violation de données de Fieldtex Products en 2025

Fieldtex a déclaré avoir découvert une activité non autorisée dans ses systèmes informatiques, sécurisé son réseau et ouvert une enquête avec des spécialistes externes en investigation numérique. Son analyse a conclu qu’une quantité limitée d’informations de santé protégées avait pu être affectée par l’incident. HIPAA Journal et SecurityWeek ont relayé la déclaration de l’entreprise ainsi que les déclarations déposées auprès du HHS.

La liste du HHS désigne Fieldtex comme partenaire commercial, classe l’événement dans la catégorie « Piratage/incident informatique » et indique « Serveur réseau » comme emplacement des informations. Cette classification réglementaire et le constat de l’entreprise selon lequel un accès ou une acquisition a pu avoir lieu étayent la réalité d’une violation de données personnelles.

Fieldtex a détecté l’activité non autorisée le 19 août 2025 ou aux alentours de cette date, puis a sécurisé ses systèmes pour empêcher tout nouvel accès. L’entreprise a déclaré avoir achevé l’examen des fichiers exposés le 30 septembre 2025 et informé les régimes d’assurance santé concernés. La date retenue pour l’incident correspond à la première activité technique vérifiable à partir de sources publiques.

La première déclaration de grande ampleur auprès du HHS a été déposée le 20 novembre 2025 et concernait 238 615 personnes. Trois déclarations supplémentaires du 3 décembre mentionnent 5 901, 9 206 et 20 641 personnes, tandis qu’une déclaration ultérieure, datée du 12 décembre, en mentionne 104 071. Ces différentes dates de dépôt ne prouvent pas l’existence d’attaques distinctes : elles reflètent des déclarations échelonnées de Fieldtex, agissant en tant que partenaire commercial pour le compte de régimes d’assurance santé.

Les champs de données mentionnés comprennent les noms, les adresses postales, les dates de naissance et le genre. Les informations relatives à l’adhésion aux régimes d’assurance santé comprenaient également les numéros d’identification des assurés, les noms des régimes et les dates de prise d’effet ou les conditions de couverture. Ces champs étaient associés aux informations sur les adhérents fournies par les régimes d’assurance santé qui utilisaient le programme de prestations de Fieldtex pour les produits en vente libre.

Les sources ne font pas figurer les numéros de sécurité sociale, les cartes de paiement, les comptes bancaires, les mots de passe, les diagnostics cliniques, les ordonnances ou les dossiers de traitement détaillés dans la liste des champs confirmés. Ces catégories sont donc exclues. L’expression « informations de santé protégées » ne signifie pas non plus que tous les champs énumérés étaient présents pour chaque personne concernée : le contenu des fichiers individuels pouvait varier.

La liste du HHS consultée le 27 juillet 2026 contient cinq lignes concernant Fieldtex Products pour lesquelles l’enquête est en cours. L’addition des nombres de personnes indiqués sur ces lignes donne 378 434. Dans sa mise à jour du 16 décembre 2025, HIPAA Journal faisait état de trois déclarations totalisant 35 748 personnes, en plus des 238 615 initialement déclarées; la liste actuelle du HHS affiche également la déclaration du 12 décembre concernant 104 071 personnes.

Le tableau public du HHS ne précise pas si les identités ont été dédupliquées entre les cinq lignes, ni selon quelle méthode. Ce chiffre doit donc être compris comme la somme des effectifs déclarés aux autorités, et non comme un ensemble de personnes uniques dont le nombre aurait été vérifié de manière indépendante.

Le groupe cybercriminel Akira, spécialisé dans les rançongiciels, a inscrit E-First Aid Supplies, une marque de Fieldtex, sur son site de divulgation en novembre 2025 et a affirmé avoir dérobé 14 GB de documents d’entreprise. SecurityWeek a relayé cette affirmation et indiqué que les fichiers ne semblaient pas avoir été publiés à ce moment-là. Fieldtex n’a pas nommé Akira dans sa déclaration publique : ni l’identité du groupe ni le volume de 14 GB ne sont donc considérés comme des éléments confirmés par l’entreprise.

Cela ne permet pas de conclure qu’un rançongiciel a chiffré les systèmes, qu’une rançon a été payée ou que l’ensemble des affirmations du groupe était exact. Le point central vérifié est que les informations d’adhérents à des régimes d’assurance santé présentes sur un serveur réseau ont été exposées à un accès ou à une acquisition non autorisés.

Si vous avez reçu une notification, vous devriez comparer les noms de Fieldtex et des régimes d’assurance santé figurant dans le courrier avec vos propres documents d’assurance, examiner vos relevés de prestations pour repérer des changements inhabituels et signaler toute commande inattendue de produits en vente libre. Avant d’utiliser un lien, vérifiez les appels ou messages qui demandent votre adresse, votre date de naissance ou votre identifiant d’adhérent en passant par un canal de contact officiel de votre régime d’assurance santé, dont vous aurez obtenu les coordonnées de manière indépendante.

Fieldtex a déclaré avoir proposé gratuitement un service de surveillance du crédit aux personnes éligibles. Même si la période d’inscription est terminée, il reste utile de consulter vos rapports de crédit, de signaler les comptes que vous ne reconnaissez pas et de vérifier vos décomptes d’assurance santé.