Violation de données chez Takeda Pharmaceuticals en 2026

La déclaration déposée par Takeda auprès du procureur général du New Hampshire confirme que les identifiants d’un employé ont été compromis lors d’une attaque par hameçonnage vocal et qu’un tiers non autorisé a extrait des fichiers de l’environnement informatique de l’entreprise.

Une lettre destinée aux consommateurs, déposée auprès du procureur général du Massachusetts, corrobore les principaux éléments de la chronologie et la réponse apportée par Takeda. Le document du procureur général du Texas fournit le nombre total de personnes touchées ainsi que les catégories de données personnelles signalées.

L’attaque par hameçonnage vocal a eu lieu le 9 février 2026 ou aux alentours de cette date. Le tiers non autorisé a accédé à l’environnement informatique de Takeda et en a extrait certains fichiers entre le 9 et le 21 février.

Takeda a découvert l’incident le 23 février 2026 et a réinitialisé les identifiants et révoqué les sessions le jour même. L’entreprise a établi le 24 avril que des données personnelles avaient pu être consultées et a identifié les personnes concernées le 5 mai.

Les catégories de données signalées comprennent les noms, les adresses, les dates de naissance, les numéros de sécurité sociale, les numéros de permis de conduire, d’autres numéros d’identification délivrés par les autorités publiques et des informations médicales.

Chaque personne n’était pas nécessairement concernée par toutes ces catégories de données; les lettres de notification précisent les données concernées pour chaque destinataire. L’entreprise a déclaré n’avoir trouvé aucune preuve concluante d’une utilisation abusive liée à l’incident.

La déclaration déposée auprès du procureur général du Texas fait état de 2 435 personnes touchées au total. Il s’agit du total global déclaré, et non du seul nombre de résidents du Texas.

Les chiffres propres à chaque État n’ont pas été ajoutés une seconde fois à ce total. Par exemple, la déclaration du New Hampshire recense cinq résidents, et le document du Texas recense 392 résidents de cet État.

Les numéros de sécurité sociale et les numéros d’identification délivrés par les autorités publiques peuvent servir à tenter d’ouvrir des comptes frauduleux ou de contourner les contrôles d’identité. Les adresses et les dates de naissance peuvent rendre ces tentatives plus convaincantes.

Des références à des informations médicales peuvent aussi être utilisées dans des messages ciblés se faisant passer pour des communications de services de santé ou d’assurance. La présence de détails propres à l’incident dans un message ne prouve pas, à elle seule, que son expéditeur est légitime.

Les personnes ayant reçu une notification de Takeda devraient examiner leurs rapports de crédit, les demandes de renseignements liées à l’ouverture de nouveaux comptes et les activités associées à leurs données d’identité. Elles peuvent utiliser le service de surveillance de l’identité proposé par l’entreprise et envisager, selon leur situation, un gel de leur dossier de crédit ou une alerte à la fraude.

Plutôt que de suivre les liens contenus dans des messages prétendant provenir de Takeda ou d’Experian, les destinataires devraient utiliser le site officiel de l’entreprise et les moyens de contact vérifiés figurant dans leur lettre de notification. Tout soupçon d’utilisation abusive de leur identité devrait être signalé aux établissements concernés et aux services officiels de signalement des usurpations d’identité.