Violation de données chez FYZICAL en 2024

La notification officielle de Fyzical Acquisition Holdings rattache à un même événement la découverte du 9 décembre 2024, le possible accès non autorisé aux données de messagerie, l’achèvement de l’examen des données le 25 novembre 2025 et les types d’informations mentionnés. La fiche du HHS OCR confirme l’organisation concernée, l’environnement de messagerie et le nombre total actuel de 43 045 personnes.

Un compte rendu indépendant de l’événement décrit également les documents déposés auprès des autorités des États, la chronologie de l’incident et les types de données mentionnés. Les 1 801 personnes signalées au Texas constituent un sous-ensemble, à l’échelle de cet État, des personnes concernées par le même incident. Il ne s’agit ni d’un événement distinct ni d’un chiffre à ajouter au total national de 43 045 personnes indiqué par le HHS.

L’organisation a repéré une activité inhabituelle dans son environnement de messagerie le 9 décembre et a ouvert une enquête pour comprendre la nature et l’ampleur de l’événement. L’enquête a conclu que certaines données de messagerie avaient pu être consultées ou copiées sans autorisation dans le cadre de l’incident.

La notification publique ne précise ni quand l’accès a commencé, ni quels comptes ou quelle faiblesse technique ont été exploités, ni l’identité de l’auteur. Le 9 décembre est donc retenu comme la date de découverte, et non comme la date confirmée du premier accès ou comme le début ou la fin d’une période d’accès.

Selon les personnes, les informations potentiellement touchées comprenaient les noms, les dates de naissance, les numéros de sécurité sociale et les numéros de permis de conduire ou de pièces d’identité délivrées par un État. Les données relatives aux comptes financiers et aux cartes de paiement figurent également parmi les types de données mentionnés dans la notification officielle.

Des données d’assurance maladie et des informations médicales ont également pu être concernées. L’organisation précise que chaque personne n’était pas concernée par tous les types de données. Les adresses e-mail et les mots de passe ne sont pas ajoutés à cette liste, car ils ne figurent pas parmi les types d’informations mentionnés publiquement.

Des numéros d’identification associés à des données financières et de santé peuvent faciliter l’usurpation d’identité, l’ouverture frauduleuse de comptes, la fraude aux paiements ou l’envoi de messages ciblés convaincants. Comme les numéros de sécurité sociale et ceux des pièces d’identité officielles ne peuvent pas être simplement changés, une surveillance sur une longue période peut être appropriée.

Une personne qui connaît un détail réel concernant un traitement, une assurance ou des finances peut formuler une demande plus convaincante en prétendant représenter FYZICAL, un prestataire de soins, une banque ou un organisme public. Le fait de détenir ces renseignements ne prouve pas qu’elle est habilitée à faire cette demande. Toute demande inattendue doit être vérifiée par un canal indépendant.

Fyzical Acquisition Holdings a examiné les données de messagerie afin d’identifier les informations et les personnes concernées. Cet examen approfondi s’est achevé le 25 novembre 2025. Des notifications ont été envoyées par courrier aux personnes dont l’adresse était disponible, et des services de surveillance du crédit et de protection de l’identité ont été proposés aux personnes éligibles.

L’organisation indique également avoir réexaminé et renforcé ses politiques et procédures existantes. Les sources publiques ne qualifient pas l’événement d’attaque par rançongiciel, ne désignent aucun groupe responsable et n’affirment pas que toutes les données potentiellement touchées ont effectivement été copiées.

Si vous avez reçu une notification, examinez régulièrement vos rapports de crédit, vos comptes financiers et vos décomptes d’assurance maladie afin de repérer des comptes, des opérations, des prestations ou des demandes de remboursement que vous ne reconnaissez pas. Signalez toute activité suspecte à l’établissement financier concerné, à l’assureur concerné et, le cas échéant, aux autorités.

Ne communiquez pas de numéro de sécurité sociale, de données de carte de paiement, de mot de passe ou de code de vérification à usage unique en réponse à un e-mail, un message ou un appel inattendu. Si une demande est présentée comme provenant de FYZICAL ou d’une autre organisation, vérifiez-la à l’aide des coordonnées figurant sur le site officiel, plutôt qu’en utilisant les liens ou les numéros contenus dans le message.