Violation de données chez Kubota North America en 2026

L’entreprise situe la période d’accès non autorisé entre le 16 mars et le 20 avril et indique avoir sécurisé le réseau et ouvert une enquête lorsqu’elle a pris connaissance de l’incident. Le 30 avril, elle a découvert que des fichiers gérés par son équipe des ressources humaines avaient été consultés. L’examen des fichiers a conclu, le 16 juin, qu’un ou plusieurs d’entre eux pouvaient contenir des informations personnelles concernant certains salariés et leurs ayants droit. Les lettres de notification ont été envoyées par courrier le 30 juin.

Les sources ne précisent ni la méthode d’accès initial, ni l’auteur de l’attaque, ni la date à laquelle l’entreprise a appris l’existence de l’incident. Elles ne confirment pas non plus que des fichiers particuliers ont été extraits du réseau. Cette fiche confirme donc l’accès non autorisé et la consultation de fichiers, sans ajouter d’affirmation non étayée concernant un rançongiciel, une vulnérabilité ou la publication de données.

Les dossiers des salariés pouvaient contenir un nom associé à un numéro de sécurité sociale, une date de naissance, un numéro d’identification fiscale, un numéro de permis de conduire ou d’une autre pièce d’identité délivrée par une autorité publique, des informations sur les comptes financiers destinés aux versements par virement, des informations sur les cartes de paiement professionnelles, ainsi que des informations d’adhésion au régime de prestations de Kubota ou des informations limitées sur les demandes de prise en charge des personnes affiliées à ce régime. Pour les ayants droit, le périmètre se limite aux noms, numéros de sécurité sociale, dates de naissance et, le cas échéant, aux informations d’adhésion au régime de prestations ou aux informations limitées sur les demandes de prise en charge.

L’entreprise indique explicitement que les données variaient selon le poste du salarié et les prestations qu’il avait choisies. Cela ne signifie pas que toutes les catégories de données étaient concernées pour chaque destinataire. L’avis officiel ne mentionne ni mots de passe, ni identifiants de connexion, ni comptes de messagerie personnels, ni codes d’accès bancaires.

L’avis de l’entreprise ne fournit aucun nombre de personnes concernées à l’échelle nationale. Dans une déclaration datée du 1er juillet 2026, l’entrée publique du registre de l’autorité de contrôle du Texas fait état de 2 237 résidents du Texas, d’une notification par courrier et d’une protection contre l’usurpation d’identité. Le modèle de lettre officiel du Massachusetts corrobore les dates et les catégories de données, mais ne fournit pas de total national. Le nombre de 5 891 précédemment indiqué a été retiré, car aucune source primaire directe ne permettait de l’étayer. Aucune tâche d’importation locale ni aucun jeu de données consultable par recherche au niveau individuel ne sont associés à cette fiche.

Kubota a proposé un service de surveillance de l’identité par l’intermédiaire de Kroll. Chaque destinataire doit d’abord se référer aux catégories de données mentionnées dans sa propre lettre. Les personnes dont les numéros d’identification étaient concernés peuvent examiner leurs rapports de crédit, les nouveaux comptes et les changements d’adresse; celles dont les informations de versement par virement étaient concernées peuvent surveiller leurs opérations bancaires et les versements de salaire; celles dont les données de cartes professionnelles étaient concernées peuvent vérifier les transactions par carte; enfin, celles dont les informations relatives aux prestations ou les informations limitées sur les demandes de prise en charge étaient concernées peuvent examiner les documents du régime et les relevés explicatifs. Avant de donner suite à un lien, à une demande de paiement ou à une demande de code à usage unique reçus lors d’un appel ou dans un message inattendu, les destinataires doivent passer par un canal indépendant accessible depuis kubotausa.com.