Violation de données chez SOC Day & Zimmermann en 2026

La principale source primaire est le document public 2026-1162 déposé auprès des autorités du Massachusetts, une lettre intitulée « Notification d’un incident de sécurité des données ». Elle indique explicitement la date du 2 juin, un accès limité à un seul compte de messagerie, l’absence d’éléments montrant que d’autres systèmes ont été touchés, l’impossibilité d’exclure un accès aux données, les mesures de sécurité prises et les coordonnées de Day & Zimmermann.

Claim Depot associe le document officiel à la fiche de SOC et résume le début de l’envoi des notifications le 15 juillet, ainsi que les catégories « prénom et nom de famille », « SSN » et « dossiers médicaux » figurant dans les métadonnées réglementaires. Le site officiel de SOC confirme que l’entreprise appartient à Day & Zimmermann et utilise soc-usa.com. Les sources concordent sur l’entité concernée et sur le périmètre limité à un compte de messagerie.

SOC a déclaré avoir été alertée d’une activité suspecte impliquant un accès non autorisé à un compte de messagerie de l’entreprise. Elle a immédiatement sécurisé le compte et mené une investigation numérique avec son équipe de cybersécurité. L’examen a établi que l’incident se limitait à ce compte et n’a révélé aucun élément indiquant que d’autres comptes professionnels, serveurs ou systèmes de l’entreprise avaient été touchés.

Les documents publics ne précisent pas pendant combien de temps le compte est resté accessible, ni si l’accès initial reposait sur un hameçonnage, la réutilisation d’un mot de passe, un cookie de session ou une autre méthode. Ils ne mentionnent aucun acteur malveillant, logiciel malveillant, demande de rançon ou revendication de publication de données. Les nombres de personnes concernées, les champs de données et les affirmations relatives à des acteurs malveillants qui n’ont pas été vérifiés ne sont pas retenus dans le périmètre public de l’incident.

Les données personnelles potentiellement concernées comprenaient les prénoms et noms de famille, associés aux numéros de sécurité sociale. Les dossiers médicaux figurent également parmi les catégories de données du dossier réglementaire de l’incident. Les lignes consacrées aux données propres à chaque personne dans le modèle de notification étant des espaces réservés à compléter, il est impossible de supposer que les mêmes champs concernaient tous les destinataires. La lettre adressée à chaque personne fait foi quant aux données qui la concernent.

La lettre mentionne des documents bancaires, des informations de carte, des documents relatifs aux prestations médicales, ainsi que des documents de passeport et d’immigration dans ses conseils généraux de protection. Cette liste de recommandations ne constitue toutefois pas un inventaire confirmé des données concernées. Le dossier reste limité aux catégories étayées par les métadonnées réglementaires.

Une messagerie professionnelle peut contenir le corps des messages, des pièces jointes, des fils de réponses et des éléments de contexte révélant les services dont bénéficie une personne. Un nom associé à un SSN crée un risque d’usurpation d’identité et d’ouverture frauduleuse de comptes, tandis que le contexte des dossiers médicaux peut servir à des escroqueries liées aux services de santé ou aux prestations. L’organisation n’a pas confirmé qu’un message particulier avait effectivement été consulté.

Le fait que l’incident soit limité à un seul compte en restreint l’étendue, mais n’élimine pas le risque lorsque son contenu est sensible. Une même personne peut apparaître dans plusieurs messages, et un seul message peut contenir des informations sur plusieurs personnes. Le nombre de messages ou de pièces jointes ne peut donc pas être assimilé au nombre de personnes concernées. L’organisation n’a publié aucun total vérifiable de personnes ou d’enregistrements touchés. L’absence de chiffre communiqué ne signifie pas que l’incident n’a eu aucun impact; elle signifie que les sources publiques ne fournissent pas de total fiable.

SOC a sécurisé le compte concerné, mené une investigation numérique avec son équipe de cybersécurité et examiné les informations potentiellement touchées. Elle a renforcé la sensibilisation et la formation de ses salariés à la sécurité, et déclaré qu’elle continuait à évaluer et à améliorer les mesures de contrôle lorsque cela était approprié. L’envoi des lettres de notification a commencé le 15 juillet 2026.

Day & Zimmermann a proposé aux résidents du Massachusetts le remboursement de 18 mois de surveillance du crédit auprès du prestataire de leur choix. Les justificatifs d’inscription et de paiement doivent être transmis pour obtenir le remboursement. La notification indique le numéro (267) 804-5322 et l’adresse Privacy@dayzim.com pour toute question, et explique les modalités d’accès aux rapports de crédit gratuits, de mise en place d’alertes à la fraude et de gel des dossiers de crédit.

Si vous avez reçu une lettre, vérifiez les champs de données qui vous concernent. Si un SSN est en cause, envisagez de faire geler votre dossier auprès des trois agences d’évaluation du crédit, de mettre en place une alerte à la fraude, d’obtenir un IRS IP PIN et de surveiller vos rapports de crédit. Si des dossiers médicaux sont concernés, examinez vos relevés de prestations, vos demandes de remboursement auprès de l’assurance et les dossiers détenus par vos prestataires de soins afin de repérer des services que vous ne reconnaissez pas.

Des criminels peuvent utiliser les noms, les fonctions, les projets ou le contexte médical présents dans un fil de courriels pour créer des messages de suivi convaincants. Avant de répondre, vérifiez de manière indépendante l’identité de l’expéditeur et la demande par un canal officiel de soc-usa.com ou de dayzim.com. Ne communiquez pas de mot de passe, de SSN complet ou de code à usage unique au seul motif qu’une personne connaît un détail d’une conversation réelle.