Violation de données chez Western Alliance Bank en 2024

Le principal élément de preuve est la lettre de Western Alliance Bank destinée aux consommateurs, publiée dans les dossiers des autorités de régulation de Californie et du Massachusetts. Au nom de la banque, ce document décrit directement la vulnérabilité du logiciel tiers, la période d’accès et d’acquisition des fichiers, les dates de découverte et d’examen des données, les catégories d’informations dont la présence a été confirmée, le signalement aux forces de l’ordre et le service de protection de l’identité proposé.

Les documents du procureur général du Maine et de ceux d’autres États corroborent également la procédure de notification. Claim Depot rassemble les liens vers ces documents officiels et publie sous une forme structurée le total national de 21 899 personnes ainsi que les sous-ensembles par État. Les sources concordent sur la période de l’incident, le logiciel tiers de transfert, la copie de fichiers et les principales catégories de données.

Le logiciel de transfert sécurisé de fichiers utilisé par Western Alliance et de nombreuses autres organisations présentait une vulnérabilité jusque-là inconnue. Un tiers non autorisé l’a exploitée en octobre et a accédé à une partie limitée des systèmes de la banque. L’enquête a établi que cet acteur avait obtenu certains fichiers du 12 au 24 octobre.

La banque a été informée d’un possible accès le 27 janvier 2025, a commencé à examiner les fichiers et a établi le 21 février qu’ils contenaient des informations personnelles. Une source secondaire rapporte que le groupe CL0P a revendiqué l’incident, tandis que la lettre destinée aux consommateurs ne nomme aucun auteur et n’attribue pas l’incident à un rançongiciel. LeakData considère la vulnérabilité du logiciel tiers et l’acquisition des fichiers comme vérifiées, sans présenter la revendication du groupe comme une attribution définitive.

La notification cite les noms et les numéros de sécurité sociale comme les principales données dont la présence a été confirmée. Des dates de naissance, des numéros de permis de conduire et d’identification fiscale, ainsi que des passeports, pouvaient également être présents lorsqu’une personne les avait fournis à la banque. Il ne faut pas supposer que chaque personne touchée était concernée par la même combinaison de données, car le périmètre variait selon les clients et les fichiers.

L’association d’un SSN, d’un identifiant fiscal, d’une date de naissance et d’un document officiel crée un risque à long terme de souscription frauduleuse de crédits, de fraude fiscale, d’utilisation abusive de l’identité d’une entreprise et d’hameçonnage ciblé. Lorsqu’un passeport ou un permis de conduire était concerné, il peut être utile d’examiner les possibilités de renouvellement et de signalement d’une utilisation abusive proposées par l’autorité émettrice. Vous ne devez pas transmettre d’images de documents ni de codes de vérification en réponse à des messages inattendus se présentant comme provenant de la banque.

La banque a indiqué que certains fichiers pouvaient contenir des numéros de comptes financiers. Ces données peuvent faciliter des fraudes liées aux comptes, des demandes de paiement frauduleuses ou des opérations d’ingénierie sociale ciblant un client à l’aide d’informations exactes sur son compte. La lettre publique ne précise ni le type de compte, ni le nom de l’établissement financier, ni si le compte était encore ouvert au moment de l’incident.

La source ne confirme pas expressément la présence de numéros de cartes de paiement, de dates d’expiration, de codes CVV, de codes PIN, de mots de passe de banque en ligne, de numéros de routage bancaire, de soldes ou d’historiques de transactions. Si vous avez reçu la notification, activez les alertes d’activité dans l’application officielle de la banque et signalez directement à l’établissement tout virement, bénéficiaire ou changement de profil que vous ne reconnaissez pas.

Le nombre de personnes touchées ou d’enregistrements publié par la source officielle représente l’étendue déclarée de l’incident. Cela ne signifie pas que toutes les catégories de données mentionnées concernaient chaque personne. Les sous-ensembles par État comptent 1 222 résidents du Texas, 539 de l’État de Washington, 41 du New Hampshire, 17 du Massachusetts et six du Maine. Ces chiffres par État font partie du total national et ne s’ajoutent pas aux 21 899 personnes.

Western Alliance a indiqué qu’à la date de la notification, elle ne disposait d’aucun élément montrant que les informations personnelles avaient été utilisées à des fins de fraude ou d’usurpation d’identité. Cette évaluation, valable à cette date, n’écarte pas les risques futurs. Puisqu’il a été confirmé que l’acteur avait obtenu des copies de fichiers et que ceux-ci contenaient des identifiants durables tels que les SSN, les destinataires doivent continuer à surveiller leur dossier de crédit et leurs comptes sur le long terme.

Western Alliance a prévenu les forces de l’ordre, renforcé ses mesures de sécurité techniques et proposé aux personnes admissibles un abonnement gratuit d’un an à Experian IdentityWorks Credit 3B. Ce service comprend la surveillance du crédit auprès des trois agences d’évaluation du crédit, une assistance au rétablissement de l’identité, une aide qui se poursuit après l’expiration de l’abonnement et une assurance contre l’usurpation d’identité couvrant jusqu’à 1 million de dollars, sous réserve des conditions applicables. Les modalités d’inscription figurent dans les lettres individuelles.

Si vous avez reçu la notification, inscrivez-vous uniquement avec le code figurant dans la lettre officielle et vérifiez vos rapports de crédit et vos comptes Western Alliance pour repérer toute activité que vous ne reconnaissez pas. Lorsqu’un SSN ou un identifiant fiscal était concerné, il peut être approprié de geler votre dossier auprès des trois agences d’évaluation du crédit, de mettre en place une alerte à la fraude et d’obtenir un code IRS Identity Protection PIN. Ne communiquez aucun code à usage unique ni mot de passe lors d’appels suspects.