Violation de données chez Kemper en 2026

L’auteur de la menace a affirmé avoir publié plus de 29 GB de données et plus de 13 millions d’enregistrements obtenus depuis l’environnement Salesforce de Kemper. Des chercheurs indépendants ont observé, dans un échantillon, des dossiers nommés SharePoint, Azure, Salesforce et Stripe, ainsi que des documents internes, des noms et des adresses e-mail d’employés et des journaux de transactions. Le communiqué de l’entreprise confirme qu’une enquête est menée sur un incident, mais ne confirme ni les 13 millions de lignes revendiquées, ni le volume de données, ni la méthode d’accès initial.

Le chiffre de 269 299 correspond au nombre d’adresses e-mail uniques dans le jeu de données externe publié. L’affirmation de l’auteur de la menace concernant plus de 13 millions de lignes ne correspond pas à un nombre de personnes ou de comptes et n’a pas été intégralement vérifiée de manière indépendante. Les lignes de journal répétées et les adresses e-mail uniques sont des unités de mesure différentes : ces chiffres ne sont donc ni additionnés ni considérés comme interchangeables. Le 15 avril est la date de référencement dans le catalogue externe et de publication des données; la date de l’accès initial aux systèmes n’a pas été divulguée.

L’index externe vérifié répertorie six catégories structurées : adresses e-mail, noms, numéros de téléphone, adresses physiques, achats et données partielles de cartes de paiement. Son descriptif précise que les champs relatifs aux cartes comprennent les quatre derniers chiffres, les dates d’expiration et les marques des cartes. Il ne faut pas supposer que chaque champ était présent pour chaque adresse e-mail, ni que tous les champs appartenaient à la même personne.

Les chercheurs indépendants ont également indiqué que l’échantillon Stripe qu’ils avaient pu examiner ne contenait aucun numéro de carte explicite ni aucune information sur des comptes bancaires. Ce constat, limité à un échantillon, ne correspond pas à la même mesure que la catégorie des données partielles de cartes répertoriée dans le jeu de données externe plus large. Les numéros complets de cartes, les comptes bancaires, les numéros de sécurité sociale, les mots de passe et les numéros de contrats d’assurance ne figurent pas parmi les catégories structurées vérifiées.

Les sources associent cet événement à une campagne plus vaste d’ingénierie sociale visant des centaines de clients de Salesforce; le communiqué public de Kemper ne confirme pas la méthode d’accès initial à son propre environnement. Le domaine actif de l’entreprise permet de vérifier son identité en tant que prestataire de services d’assurance, mais ne suffit pas, à lui seul, à établir l’attribution technique.

L’environnement de production ne comporte aucune tâche d’importation Kemper, et chaque collection locale de données individuelles contient zéro lien. Les 269 299 adresses e-mail uniques ne sont donc pas couvertes par la recherche locale. Si vous avez reçu une notification liée à l’incident, vous pouvez vérifier les messages inattendus concernant un paiement ou un contrat d’assurance en passant par le compte existant associé à votre contrat ou par un canal officiel obtenu séparément; la présence de certaines coordonnées exactes dans un message ne prouve pas qu’il est digne de confiance.