Violation de données chez Unlimited Technology Systems en 2025

La principale pièce justificative est la lettre d’Unlimited Technology Systems adressée aux consommateurs, publiée dans un dossier déposé auprès du procureur général de l’Iowa. Cette lettre explique directement, au nom de l’entreprise, la découverte de l’incident, la période du 5 au 10 octobre durant laquelle des copies auraient pu être obtenues, l’intervention des forces de l’ordre et des spécialistes en investigation numérique, les catégories d’informations confirmées, les données expressément exclues, les deux années de services Kroll et la ligne d’assistance.

Un dossier du procureur général de Californie constitue une autre trace officielle de la notification. Le dossier BR-0005193 du procureur général du Texas fait état de 3 836 316 personnes concernées dans l’ensemble des États-Unis, dont 277 364 résidents du Texas. Les 148 342 personnes signalées en Caroline du Sud et les 2 223 au Massachusetts sont des sous-ensembles de ce total national.

Unlimited a découvert une activité non autorisée dans son centre de données commercial le 19 octobre. L’entreprise a fait appel à un cabinet de premier plan spécialisé dans les investigations numériques en cybersécurité, a informé les forces de l’ordre et a examiné les données concernées. L’enquête a conclu qu’un acteur non autorisé pourrait avoir obtenu une copie de certaines informations personnelles entre le 5 et le 10 octobre.

La lettre publique ne précise ni le vecteur d’accès initial, ni l’identité de l’acteur, ni le logiciel malveillant utilisé, et ne fait état d’aucune demande de rançon ni publication de données. La formulation « pourrait avoir obtenu une copie » confirme la possibilité d’une extraction, mais n’établit pas que chaque champ a été copié pour chaque personne. Comme Unlimited traite des informations pour le compte de prestataires de soins, certaines personnes peuvent être concernées même si elles n’ont aucune relation directe avec l’entreprise.

Selon les personnes, les données pouvaient comprendre des noms, des numéros de sécurité sociale américains, des dates de naissance, des adresses e-mail et postales, des numéros de téléphone et d’autres informations démographiques. Les documents numérisés pouvaient inclure des permis de conduire ou d’autres pièces d’identité délivrées par les autorités, des cartes d’assurance et des formulaires d’admission des patients. Il ne faut pas supposer que tous les champs étaient présents pour chaque personne; les courriers individuels précisent le périmètre exact.

L’association d’un SSN, d’une date de naissance, de coordonnées et d’images de pièces d’identité expose durablement à la souscription frauduleuse de crédits, à l’usurpation d’identité à des fins fiscales, à l’utilisation de documents d’identité pour se faire passer pour une autre personne et à l’ingénierie sociale ciblée. Les destinataires devraient envisager un gel de leur dossier de crédit, une alerte à la fraude et un code PIN de protection de l’identité de l’IRS. Ils ne devraient pas transmettre d’images de pièces d’identité, de mots de passe ou de codes de vérification dans des messages prétendant provenir d’un prestataire de soins ou d’Unlimited.

Les informations relatives à l’assurance maladie et aux soldes des comptes des patients pouvaient comprendre des numéros de police d’assurance, des informations sur les demandes de remboursement ou les prestations, ainsi que les soldes des comptes des patients. Les informations médicales comprenaient des numéros de dossier médical, des dates de soins et des diagnostics. Les cartes d’assurance et les formulaires d’admission figuraient également parmi les documents numérisés. Ces données peuvent permettre une usurpation d’identité médicale, des demandes de remboursement frauduleuses ou des escroqueries s’appuyant sur des informations authentiques concernant les soins.

Les personnes concernées devraient vérifier leurs relevés de prestations, leurs portails patients et leurs comptes auprès des prestataires de soins afin de repérer des soins, diagnostics, demandes de remboursement, soldes ou modifications de coordonnées qu’elles ne reconnaissent pas. Toute entrée suspecte devrait être vérifiée directement auprès du prestataire et de l’assureur. Comme Unlimited fournit ses services à plusieurs clients du secteur de la santé, tout destinataire qui ne reconnaît pas ce fournisseur devrait vérifier, par un canal officiel, le lien avec le prestataire de soins indiqué dans la notification.

La lettre officielle adressée aux consommateurs indique expressément que les données concernées par l’incident ne comprenaient ni les dossiers médicaux complets des patients ni l’imagerie médicale. Elle exclut également les informations financières telles que les données de cartes de crédit et de comptes bancaires. Les informations sur les soldes des comptes des patients ne contredisent pas cette exclusion : des informations relatives à une dette ou à un solde peuvent être présentes sans que les données de carte ou de compte bancaire le soient.

Les recommandations générales invitant à surveiller les relevés bancaires et de cartes ne prouvent pas que ces données ont été exposées. Ajouter à tort des données que la source exclut fausserait à la fois l’évaluation des risques par les utilisateurs et l’exactitude des résultats de recherche.

Le dossier BR-0005193 du procureur général du Texas publie un total national exact de 3 836 316 personnes concernées, dont 277 364 résidents du Texas. Les 148 342 personnes en Caroline du Sud et les 2 223 au Massachusetts constituent des sous-ensembles et n’ont pas été ajoutées au total national.

Unlimited a renforcé sa sécurité, mené une enquête avec des spécialistes en investigation numérique, informé les forces de l’ordre et proposé aux personnes admissibles deux années de surveillance de l’identité par Kroll. Cette offre comprend une surveillance du crédit auprès d’un seul bureau de crédit, des consultations en matière de fraude et une assistance au rétablissement de l’identité après une usurpation. Pour toute question, vous pouvez appeler le 844-576-3063 en semaine, de 9 h à 18 h 30 (ET).