Violation de données chez TransUnion (4,46 millions de personnes touchées)

Le document du procureur général du Maine indique le 28 juillet 2025 comme date de la violation. Le document du Texas fait état d’un accès non autorisé entre le 28 juillet et le 29 juillet.

Les sources présentent un écart d’un jour concernant la date de découverte : le document du Texas indique le 29 juillet, tandis que celui du Maine indique le 30 juillet. L’envoi des notifications aux consommateurs a commencé le 26 août, et le document du Texas a été publié le 4 septembre.

Selon la lettre officielle de TransUnion, des tiers non autorisés ont accédé à certaines informations personnelles dans une application tierce utilisée pour ses activités d’assistance aux consommateurs aux États-Unis. L’entreprise n’a pas précisé la méthode technique utilisée pour y accéder.

BleepingComputer a associé l’incident à la vague de vols de données dans l’environnement Salesforce de TransUnion. TransUnion n’a pas officiellement identifié l’auteur de l’attaque et a déclaré que les rapports de crédit et les informations principales sur le crédit ne se trouvaient pas dans l’application touchée.

Le document du Texas indique que des numéros de sécurité sociale étaient concernés. Un échantillon examiné par BleepingComputer contenait des noms, des adresses de facturation, des numéros de téléphone, des adresses e-mail, des dates de naissance et des numéros de sécurité sociale non masqués.

L’échantillon examiné contenait également certaines demandes d’assistance de consommateurs, des messages et des enregistrements décrivant le motif d’une transaction. La notification officielle précise que les éléments touchés variaient selon les personnes : chaque type de données cité ne concernait donc pas nécessairement chaque personne.

Les documents des autorités de régulation du Maine et du Texas font état de 4 461 511 personnes touchées à l’échelle nationale. Les 377 357 résidents du Texas et les 16 828 résidents du Maine sont compris dans ce total national et ne s’y ajoutent pas.

Les numéros de sécurité sociale, associés aux dates de naissance et aux coordonnées, peuvent faciliter l’usurpation d’identité, les demandes de crédit frauduleuses ou les tentatives de prise de contrôle de comptes. Les adresses de facturation et le contexte des transactions peuvent rendre les messages frauduleux ciblés plus convaincants.

Bien que les rapports de crédit n’aient pas été touchés, des attaquants peuvent se faire passer pour TransUnion, une banque ou un prêteur et demander un code de vérification, un mot de passe ou des informations personnelles supplémentaires.

TransUnion a déclaré avoir renforcé ses mesures de sécurité et proposé aux personnes touchées 24 mois de services gratuits de surveillance du crédit, de protection de l’identité et d’assistance en cas de fraude, par l’intermédiaire de Cyberscout.

Les destinataires de la notification devraient examiner leurs rapports de crédit, les nouvelles demandes de crédit et leurs comptes financiers pour repérer toute activité qu’ils ne reconnaissent pas. Les personnes dont le numéro de sécurité sociale était concerné peuvent envisager de mettre en place gratuitement une alerte à la fraude ou un gel de leur dossier de crédit.

Avant de cliquer sur un lien dans un message inattendu prétendant provenir de TransUnion ou d’un établissement financier, vérifiez son authenticité par un canal officiel. Ne communiquez pas de mot de passe, de code PIN ni de code de vérification à usage unique.