Violation de données chez GrayRobinson en 2025

La source principale est l’avis d’incident publié par GrayRobinson. Le cabinet y précise directement la période d’accès, la date de détection, les mesures prises, les résultats de l’examen des fichiers et les catégories de données, qui variaient d’une personne à l’autre. Cet avis établit que l’événement ne se limitait pas à un trafic suspect : il indique que les fichiers concernés ont pu être consultés ou extraits par la ou les personnes non autorisées.

Le rapport actuel du procureur général de l’Indiana, qui couvre les violations de données recensées depuis le début de l’année, mentionne GrayRobinson P.A., indique le 5 mars 2025 comme date de début de la violation et le 24 avril 2026 comme date de notification, et fait état de 234 résidents de l’Indiana et de 80 383 personnes concernées au total. De son côté, le portail du HHS Office for Civil Rights répertorie le cabinet en tant que partenaire commercial, recense 54 131 personnes et classe l’événement dans la catégorie « Piratage/incident informatique », impliquant un serveur réseau. L’avis de l’organisation, le régulateur de l’État et le registre fédéral du secteur de la santé apportent donc des confirmations complémentaires.

Dans sa déclaration officielle, GrayRobinson indique qu’un accès non autorisé à son réseau a eu lieu entre le 5 et le 24 mars 2025. Le cabinet a détecté l’incident le 24 mars ou aux alentours de cette date. Son enquête a établi que certains fichiers avaient pu être consultés ou extraits pendant cette période. Toutefois, l’avis public ne précise ni la vulnérabilité exploitée, ni la méthode d’accès initial, ni l’identité du responsable, ni si des fichiers ont été publiés par la suite.

Les sources publiques ne qualifient pas l’événement d’attaque par rançongiciel et ne l’attribuent à aucun groupe d’acteurs malveillants nommément identifié. La classification du HHS emploie les termes « Piratage/incident informatique » et « Serveur réseau ». Cette fiche décrit donc une intrusion réseau confirmée et une possible consultation ou extraction de fichiers, sans y ajouter de technique non vérifiée, de demande de rançon ou d’affirmation de publication sur le dark web.

GrayRobinson indique que les informations variaient selon les personnes et pouvaient comprendre une ou plusieurs des catégories suivantes : prénom et nom, date de naissance, numéro de sécurité sociale, numéro de permis de conduire, données d’identification délivrées par un État ou une autorité publique, informations sur des comptes financiers, informations médicales et informations d’assurance maladie. L’avis ne dit pas que les fichiers de chaque personne concernée contenaient toutes ces catégories.

Un numéro de sécurité sociale associé à des données d’identification officielles peut accroître le risque d’ouverture frauduleuse de comptes ou d’usurpation d’identité. Les informations sur des comptes financiers peuvent faciliter des fraudes sur ces comptes, tandis que les données médicales et d’assurance peuvent permettre une utilisation frauduleuse de l’identité dans le domaine médical ou l’envoi de messages ciblés très convaincants. La notification individuelle précisant les catégories de données propres à son destinataire, c’est ce courrier qui doit faire référence plutôt que la liste générale.

Dans le rapport actuel consultable du procureur général de l’Indiana, le chiffre de 80 383 est explicitement présenté comme le nombre total de personnes concernées, tandis que 234 correspond au nombre de résidents de l’Indiana. Une version antérieure des données de l’Indiana affichait un total de 65 113, mais le rapport actuel porte ce chiffre à 80 383. Cette fiche retient donc le dernier total global explicitement indiqué par le régulateur, plutôt que la valeur précédente.

Le chiffre de 54 131 figurant sur le portail du HHS correspond au nombre de personnes déclaré séparément dans le cadre du programme fédéral de signalement des violations de données relevant de HIPAA. Il est inférieur de 26 252 au total indiqué par l’Indiana. Le rapport du HHS relève de la réglementation du secteur de la santé, tandis que celui de l’Indiana comporte une colonne distincte pour le total global. Les sources n’expliquent pas si cet écart tient au périmètre des populations concernées, aux obligations de déclaration ou au calendrier des mises à jour. Les chiffres ne sont donc pas additionnés, et celui du HHS ne remplace pas le total national.

Le cabinet indique avoir sécurisé son réseau, signalé l’événement aux forces de l’ordre et travaillé avec des spécialistes externes de la cybersécurité expérimentés dans la réponse aux incidents. Il a ensuite procédé à un examen détaillé des informations potentiellement concernées. Après avoir achevé cet examen le 13 avril 2026, GrayRobinson a commencé, le 24 avril, à informer les personnes dont les données avaient pu figurer dans les fichiers.

Un modèle de notification indique qu’à la date de l’avis, le cabinet ne disposait d’aucun élément montrant que les informations avaient été utilisées pour commettre une fraude financière ou une usurpation d’identité. Il proposait aux destinataires éligibles un service gratuit de surveillance par l’intermédiaire d’Experian IdentityWorks. Cette déclaration ne garantit pas qu’aucune utilisation frauduleuse ne se produira à l’avenir. GrayRobinson indique également continuer à évaluer et à modifier ses pratiques et ses contrôles internes, même si l’avis public ne décrit pas les changements techniques apportés.

Si vous avez reçu un courrier, vérifiez d’abord les catégories de données qui vous concernent et la date limite d’inscription à tout service gratuit proposé. Si un numéro de sécurité sociale ou un identifiant officiel était concerné, consultez vos rapports auprès des trois agences d’évaluation du crédit et envisagez de demander gratuitement une alerte à la fraude ou un gel du crédit. Si des informations sur des comptes financiers sont mentionnées, surveillez les transactions et les modifications de vos coordonnées.

Si votre courrier mentionne des informations médicales ou d’assurance maladie, vous pouvez vérifier vos décomptes de prestations et vos portails patients pour repérer un service, un acte médical ou un prestataire que vous ne reconnaissez pas. Ne communiquez pas de mot de passe, de donnée de paiement ou de code à usage unique en réponse à un message inattendu utilisant le nom de GrayRobinson. La ligne dédiée à l’incident est le 844-403-4596, joignable du lundi au vendredi de 9 h à 18 h 30, heure de l’Est. Avant d’appeler, vérifiez ce numéro dans l’avis officiel actuel du cabinet.