Violation de données chez Restaurant Management Company (120 416 personnes)

Selon la notification officielle de l’entreprise, un tiers non autorisé a accédé à une partie de ses systèmes informatiques du 4 au 13 octobre. L’entreprise a détecté une activité suspecte le 13 octobre, sécurisé ses systèmes et lancé une enquête avec des experts en cybersécurité. Les documents publics ne précisent ni la méthode d’accès initial, ni l’identité de la personne ou du groupe responsable, ni si un rançongiciel a été utilisé.

La fiche publiée par le procureur général du Texas mentionne les noms, les adresses, les numéros de sécurité sociale, les numéros de permis de conduire et d’autres pièces d’identité délivrées par les autorités, les informations relatives aux comptes financiers, les informations médicales, les informations relatives à l’assurance maladie et les dates de naissance. Les données concernées peuvent varier d’une personne à l’autre; la notification officielle n’indique pas que tous les types de données répertoriés étaient présents pour chaque personne.

L’entreprise a déclaré avoir travaillé avec des experts externes, renforcé la sécurité de ses systèmes et proposé aux personnes concernées des services gratuits de surveillance du crédit et de protection contre l’usurpation d’identité. La durée de ces services et les modalités d’inscription sont précisées dans le courrier adressé à chaque personne. La notification publique ne formule aucune conclusion définitive quant à une éventuelle utilisation abusive des informations.

Si vous avez reçu une notification, vous devriez vous référer aux types de données indiqués dans votre propre courrier et examiner vos rapports de crédit, vos comptes financiers et vos relevés d’assurance maladie pour repérer toute activité que vous ne reconnaissez pas. Un gel du crédit ou une alerte à la fraude peut être approprié lorsqu’un numéro de sécurité sociale est concerné. En cas d’exposition d’un permis de conduire ou d’une autre pièce d’identité officielle, il peut être justifié d’en informer l’autorité émettrice. Tout message inattendu utilisant le nom de l’entreprise devrait être vérifié par des moyens de contact connus.