Violation de données chez Questo et Morris Communications en 2025

La source principale est la lettre de notification de Questo déposée sous la référence 2026-1180 dans les archives publiques du Massachusetts. Elle confirme directement le lien entre les entreprises, la période d’accès du 1er au 9 octobre, le résultat de l’examen du 22 juin, l’accès non autorisé aux fichiers, l’offre de protection Kroll de 24 mois et la ligne d’assistance au 844-958-8901.

Une synthèse accompagnée de liens vers les sources, qui rassemble les documents des autorités de réglementation de Californie, du Texas, du Vermont et du Massachusetts, présente les catégories de données et les effectifs publiés pour chaque État. La page officielle de Morris Communications consacrée à l’incident figure également parmi les canaux de notification. Les sources concordent sur la société mère, la période de l’incident et l’accès aux fichiers.

Après avoir détecté une activité inhabituelle dans son environnement réseau, Questo a sécurisé le réseau et lancé une enquête avec des spécialistes externes. L’examen approfondi a révélé qu’un acteur non autorisé avait accédé à certains fichiers. Un examen manuel a établi que certaines données personnelles avaient pu faire l’objet d’un accès non autorisé entre le 1er et le 9 octobre.

Les documents publics ne précisent ni la méthode d’accès initial, ni le compte ou la vulnérabilité utilisés, ni l’identité de l’auteur, ni l’existence d’un logiciel malveillant ou d’une demande de rançon. L’accès aux fichiers est confirmé, mais les sources ne fournissent aucune preuve d’une diffusion publique, d’une vente ou d’une mise à disposition libre des données. Les chiffres non vérifiés sur le nombre de personnes, les catégories de données non vérifiées et les affirmations non vérifiées émanant d’acteurs malveillants ne sont pas retenus dans le périmètre public de l’incident.

Les données d’identité comprenaient les noms complets, les dates de naissance, les numéros de permis de conduire ou d’autres cartes d’identité officielles, les numéros de passeport, les informations fiscales et les numéros de sécurité sociale. Cet ensemble crée des risques importants d’ouverture frauduleuse de comptes, de fraude à la déclaration fiscale, d’usurpation d’identité au moyen de pièces officielles et de messages ciblés très crédibles.

Les sources n’indiquent pas que toutes ces données étaient concernées pour chaque personne; la partie personnalisée de la lettre reçue précise le périmètre réellement concerné. La mention « informations fiscales » ne prouve pas qu’un identifiant fiscal, une déclaration fiscale et des détails sur les revenus étaient tous présents ensemble.

Les informations relatives aux comptes financiers et aux cartes de paiement augmentent les risques de transactions frauduleuses et de messages usurpant l’identité d’un établissement financier. Les informations médicales peuvent servir à créer de faux messages de prestataires de soins, de facturation ou d’assurance, en lien avec les soins reçus par une personne. Les sources ne confirment pas séparément la présence d’un code PIN bancaire, d’un CVV de carte, d’un mot de passe de portail, d’un diagnostic ou d’une ordonnance.

Si vous avez reçu une notification, vérifiez vos transactions financières, les nouveaux bénéficiaires et les modifications de vos coordonnées. Si des données de santé étaient concernées, vérifiez également les relevés de prestations et les dossiers de prestataires de soins que vous ne reconnaissez pas. La mention d’une catégorie générale de données financières ou médicales ne permet pas d’établir que toutes les sous-catégories possibles ont été exposées. Les mesures de protection doivent correspondre à la liste figurant dans votre notification personnelle.

Le dossier BR-0005178 du procureur général du Texas publie un total national exact de 11 950 personnes, dont 354 au Texas. Les 27 résidents du Vermont et les 15 résidents du Massachusetts constituent d’autres sous-ensembles par État, déjà inclus dans le total national : ils ne doivent pas être ajoutés à nouveau.

Questo a sécurisé son réseau, mené une enquête avec des spécialistes externes et déclaré avoir réexaminé ses pratiques de sécurité de l’information ainsi que ses contrôles internes, puis mis en place des mesures supplémentaires. Les personnes éligibles ont eu droit à 24 mois de services Kroll gratuits : surveillance du crédit auprès d’une seule agence d’évaluation du crédit, conseils en matière de fraude et assistance pour remédier à une usurpation d’identité. La ligne d’assistance est disponible en semaine, de 9 h à 18 h 30, heure de l’Est.

Si un SSN, une donnée fiscale ou une pièce d’identité officielle était concerné, envisagez de geler votre dossier de crédit auprès de chacune des trois agences d’évaluation du crédit, de mettre en place une alerte à la fraude et d’obtenir un IRS IP PIN. Surveillez toute utilisation abusive de votre passeport ou de votre permis de conduire et, si des informations financières étaient concernées, discutez de la sécurité des comptes avec votre banque ou l’émetteur de votre carte. Signalez rapidement toute transaction que vous ne reconnaissez pas par un canal officiel.

Des criminels peuvent utiliser le nom Morris ou Questo, une adresse réelle ou une donnée concernée dans de faux messages d’inscription à un service de protection, de paiement ou de mise à jour de documents. Accédez de votre propre initiative aux canaux officiels de l’entreprise et de votre établissement financier, plutôt que de suivre un lien reçu. Ne communiquez aucun mot de passe, SSN complet, code de sécurité de carte ou code à usage unique.