Violation de données chez Gulshan Management Services: 377 082 personnes

L’avis de notification 2026-15 du Massachusetts décrit Gulshan Management Services comme une entreprise de services aux entreprises agissant pour le compte de ses clients. Il indique que l’enquête a confirmé qu’un tiers non autorisé avait pu accéder à certaines informations personnelles.

L’entreprise déclare avoir réinitialisé les identifiants d’accès, reconstruit les systèmes concernés, installé des logiciels supplémentaires de surveillance des menaces et informé les forces de l’ordre ainsi que les autorités de régulation. Les documents publics ne précisent ni le début ni la fin de la période d’accès, ni la méthode utilisée, ni l’auteur des faits. Le 17 septembre ne doit donc pas être considéré comme une date confirmée de premier accès.

Le document du procureur général du Texas mentionne, parmi les types de données potentiellement concernés, les noms, les adresses, les numéros de sécurité sociale, les numéros de permis de conduire, les pièces d’identité officielles telles que les passeports ou les cartes d’identité délivrées par un État, ainsi que les informations financières. L’avis du Massachusetts mentionne également les coordonnées et les numéros de comptes financiers.

Les informations concernées ont pu varier selon les personnes et les clients de GMS. Il ne faut pas supposer que la liste complète s’applique à chaque destinataire de la notification, ni que toutes ces données ont été consultées ensemble. La catégorie générale des coordonnées ne permet pas de conclure qu’un champ précis, comme l’adresse e-mail ou le numéro de téléphone, était concerné.

Le rapport 2026 du procureur général de l’Indiana fait état, pour cet incident, de 377 082 personnes touchées à l’échelle nationale, dont 6 011 résidents de l’Indiana.

Les 128 652 personnes mentionnées dans le document du Texas constituent un important sous-ensemble de résidents de cet État. Les chiffres de l’Indiana et du Texas ne doivent pas être ajoutés au total national.

Un numéro de sécurité sociale, un identifiant figurant sur une pièce d’identité officielle ou un numéro de compte financier, associé à un nom et à une adresse, peut faciliter l’usurpation d’identité, les demandes de crédit frauduleuses et les tentatives de fraude sur les comptes.

Un attaquant peut utiliser une coordonnée ou une information de compte exacte pour rendre crédible un message envoyé au nom de GMS, d’une entreprise liée à GMS, d’une banque ou d’un prestataire de surveillance. L’exactitude d’une information ne prouve pas que l’expéditeur est légitime.

Si vous avez reçu une notification, vérifiez régulièrement l’activité de vos comptes financiers et vos rapports de crédit, et signalez les opérations, les comptes ou les demandes que vous ne reconnaissez pas.

La notification officielle propose aux destinataires éligibles 24 mois de surveillance du crédit, des conseils en matière de fraude et une assistance au rétablissement de leur identité en cas d’usurpation, par l’intermédiaire de Kroll. Utilisez uniquement le numéro d’adhésion et la date limite indiqués dans le courrier qui vous a été directement adressé.

Ne communiquez pas de numéro de sécurité sociale, d’information de compte, de mot de passe ou de code de vérification lors d’un appel ou dans un message non sollicité. Si vous avez besoin d’aide, utilisez de votre propre initiative le canal de contact officiel indiqué dans le courrier de notification, plutôt qu’un lien contenu dans le message.

Le périmètre confirmé comprend un possible accès par un tiers non autorisé, des informations personnelles conservées dans les systèmes concernés, des données d’identité, des coordonnées et des informations financières variables selon les destinataires, ainsi que 377 082 personnes touchées. La période exacte d’accès, la méthode d’accès initial et l’auteur des faits n’ont pas été rendus publics.