Violation de données de Virginia Transportation en 2025

La source principale est le document PDF intitulé « Notification de violation de données », publié sur le propre domaine de l’entreprise. Il précise directement la date de découverte, les investigations numériques menées avec des professionnels externes de la cybersécurité, la copie probable de fichiers, la date d’achèvement de l’examen des fichiers, les catégories de données identifiées comme ayant été touchées et la ligne téléphonique dédiée à la gestion de l’incident.

Un document du Massachusetts Office of Consumer Affairs and Business Regulation fournit un modèle de notification individuelle et confirme l’offre de surveillance de l’identité proposée par Kroll. Claim Depot rapproche les informations officielles publiées par l’entreprise et les autorités des États, et corrobore la chronologie, les catégories de données et les décomptes partiels par État. Les trois sources concordent sur les faits essentiels de l’incident.

L’entreprise a pris connaissance d’une activité non autorisée sur son réseau aux alentours du 16 septembre et a immédiatement ouvert une enquête. Des investigations numériques approfondies, menées avec des professionnels externes de la cybersécurité, ont établi qu’un accès non autorisé au réseau avait eu lieu à cette date et que des fichiers avaient probablement été copiés depuis le réseau. La notification officielle ne mentionne pas de période d’accès plus longue.

Virginia Transportation a ensuite informé les entités affiliées concernées et entrepris de recueillir des adresses postales à jour. Un examen des informations contenues dans les fichiers, personne par personne, s’est achevé le 6 juillet 2026, date à laquelle l’entreprise a déterminé que des données personnelles avaient été touchées. La méthode d’accès initial, l’identité de l’auteur et les outils utilisés n’ont pas été divulgués dans la notification publique.

La liste officielle comprend les noms complets associés à des informations financières, des numéros d’identification fiscale, des dates de naissance, des numéros de permis de conduire ou de cartes d’identité délivrées par un État, des numéros de passeport, des numéros d’assurance sociale et des numéros de sécurité sociale. L’entreprise précise expressément que toutes les catégories de données n’ont pas été touchées pour chaque personne; le contenu des fichiers peut donc varier d’une personne à l’autre.

Les « informations financières » figurent dans la source comme une catégorie générale; aucun compte bancaire, numéro de carte de paiement, solde ou relevé de transactions précis n’est mentionné. La notification ne cite pas non plus les adresses postales, les adresses e-mail, les numéros de téléphone, les mots de passe ou les identifiants de connexion parmi les catégories de données identifiées comme ayant été touchées.

La notification de l’entreprise mentionne expressément les informations d’assurance maladie et les informations médicales parmi les données susceptibles d’avoir été touchées. Le texte public ne précise pas séparément les diagnostics, traitements, prescriptions, numéros de dossier médical, dates de soins ou noms des prestataires de soins.

La présence possible d’informations d’identité, financières et de santé dans le même ensemble de fichiers peut entraîner des risques allant au-delà du vol d’identité, notamment l’usurpation d’identité à des fins médicales et les demandes frauduleuses de remboursement auprès des assurances. Cela ne signifie pas que toutes ces catégories étaient réunies pour chaque personne. La notification officielle indique qu’aucun élément ne témoignait d’un vol d’identité ou d’une fraude liés à l’incident.

Une annexe à la notification publique de l’entreprise indique que 268 résidents du Rhode Island ont été touchés; Claim Depot fait également état de 119 résidents du Massachusetts et de deux résidents du Vermont. Il s’agit de décomptes partiels pour certains États. Aucun total national définitif sans doublons n’ayant été publié, additionner ces chiffres par État et les présenter comme un total pour les États-Unis serait trompeur.

Virginia Transportation a déclaré qu’elle évaluait en permanence ses pratiques et ses contrôles internes, avait travaillé avec les entités affiliées concernées et avait mis en place une ligne téléphonique dédiée à la gestion de l’incident. La lettre du Massachusetts confirme que les destinataires éligibles bénéficient gratuitement du service de surveillance de l’identité de Kroll. Le numéro d’adhésion et la date limite d’activation étant masqués dans le modèle public, LeakData ne formule aucune hypothèse sur la durée du service ou la date limite.

Si vous avez reçu une notification, vous devriez surveiller vos relevés financiers, vos rapports de crédit, vos documents fiscaux et les décomptes de prestations de votre assurance maladie afin de repérer des transactions, comptes, demandes de remboursement ou prestations que vous ne reconnaissez pas. Lorsque des numéros de sécurité sociale et d’autres identifiants délivrés par les autorités sont concernés, le gel du dossier de crédit, une alerte à la fraude et un code PIN de protection de l’identité de l’IRS peuvent constituer des mesures de protection appropriées.

Ne communiquez pas d’informations d’identité, de données de santé ou de codes de vérification, et n’effectuez aucun paiement en réponse à des e-mails, SMS ou appels inattendus prétendant provenir de Virginia Transportation. Pour confirmer votre éligibilité, utilisez uniquement la ligne 1-844-858-8919 indiquée dans la notification officielle. Si vous recevez un message suspect ou constatez un événement suspect sur un compte, vérifiez-le en passant par le canal de contact officiel actuel de l’organisation, sans utiliser les liens contenus dans le message.