Fuite de données chez Sefas Innovation (au moins 191 848 personnes touchées)
La fuite de données de 2025 chez Sefas Innovation est un incident confirmé impliquant un accès non autorisé à un serveur SFTP utilisé pour fournir une assistance à des établissements financiers, ainsi que des téléchargements de fichiers à intervalles irréguliers.
Cette classification repose sur une borne inférieure ayant fait l’objet d’un examen ; l’impact et la gravité réels peuvent être plus élevés.
Types de données exposées
6- Noms
- Adresses physiques
- Numéros de sécurité sociale
- Dates de naissance
- Informations sur les comptes financiers
- Informations sur les prêts
À propos de cette fuite de données
Le registre officiel du Texas confirme que 191 848 personnes ont été touchées pour la seule Frost Bank; le nombre total de personnes touchées à l’échelle nationale par l’ensemble de l’incident n’a pas été divulgué.
Sefas Innovation est une entreprise technologique qui fournit des logiciels de communication avec les clients et de composition de documents à des organisations réglementées, notamment des banques. Le serveur d’assistance concerné contenait des fichiers liés à Frost Bank et à Monson Savings Bank.
Comment l’incident s’est-il produit ?
Le registre du procureur général de Californie indique le 6 décembre 2025 comme date de la violation de données. Le 16 avril 2026, Sefas a appris qu’un groupe non autorisé affirmait détenir des données liées à l’une des organisations auxquelles elle fournissait une assistance, et a sécurisé ses systèmes. L’enquête a révélé que des accès au serveur SFTP avaient eu lieu à plusieurs reprises entre décembre 2025 et avril 2026 et que certains fichiers avaient été téléchargés. L’entreprise a déclaré n’avoir trouvé aucun indice laissant penser que cette activité s’était étendue au-delà du serveur SFTP ou s’était poursuivie après le 16 avril.
Quelles informations ont été touchées ?
Les fichiers liés à Frost Bank pouvaient contenir, selon les personnes, des noms, des adresses, des numéros de sécurité sociale ou d’autres numéros d’identification fiscale, des numéros de compte, des dates de naissance et des numéros de prêt. Le modèle de notification publié pour Monson Savings Bank ne présente pas les champs propres à chaque destinataire; le périmètre des données concernées retenu pour ce groupe n’a donc pas été élargi. Au moment des notifications, Sefas a déclaré n’avoir connaissance d’aucun cas d’usurpation d’identité ou de fraude résultant de cet incident.
Comment Sefas Innovation a-t-elle réagi ?
L’entreprise a travaillé avec des spécialistes externes de l’investigation numérique, informé les organisations concernées, et revu et renforcé ses politiques de sécurité ainsi que ses mesures de protection techniques. L’envoi des notifications aux clients de Frost Bank a commencé le 20 mai, tandis que les notifications concernant Monson Savings Bank ont été envoyées le 9 juillet et proposaient aux destinataires de ce groupe 24 mois de surveillance du crédit et de services de protection de l’identité.
Que devez-vous faire si vous êtes concerné ?
Si vous avez reçu une notification, référez-vous aux champs indiqués dans votre propre courrier et surveillez vos comptes bancaires et vos prêts afin de repérer des opérations, de nouveaux comptes ou des demandes que vous ne reconnaissez pas. Si votre numéro de sécurité sociale ou d’identification fiscale était concerné, vous pouvez envisager de consulter vos rapports de crédit, de mettre en place une alerte à la fraude ou un gel du crédit, et de vérifier les messages inattendus auprès de votre banque en utilisant ses canaux officiels habituels.
Vérification et méthode éditoriale
LeakData compare le nom de l’incident, sa date, le nombre d’enregistrements concernés et les types de données exposées avec les sources accessibles. Les informations non vérifiées ne sont pas présentées comme des faits, et les fiches sont mises à jour lorsque de nouveaux éléments probants sont disponibles.
Signaler des informations manquantes ou incorrectes
