Violation de données chez Yellow Corporation en 2025

La source principale est l’« Avis relatif à un incident de sécurité des données » de Yellow Corporation, daté du 26 juin 2026 et publié sur son propre domaine. Le document PDF de l’entreprise indique explicitement la date de l’incident, les conclusions établissant l’accès non autorisé et l’exfiltration, l’examen des fichiers, les catégories de données confirmées, le fait que les informations concernent principalement d’anciens salariés et les mesures de sécurité prises.

Un document de notification aux consommateurs du Massachusetts corrobore le texte officiel et la procédure de déclaration aux autorités réglementaires. Claim Depot fournit des liens vers la page de l’entreprise et les documents des États, notamment du Massachusetts, de Californie, du Vermont et de Caroline du Sud, et résume la chronologie ainsi que les chiffres disponibles pour certains groupes de personnes. Les sources concordent sur l’existence de l’incident, sa date, l’acquisition des données et les principaux types d’informations concernés.

Yellow a repéré une activité suspecte sur son réseau informatique aux alentours du 27 mars. L’entreprise a rapidement lancé une enquête, fait appel à des spécialistes externes en cybersécurité, brièvement mis ses systèmes hors ligne et les a restaurés à partir de sauvegardes sécurisées. L’examen a établi que certains fichiers du réseau avaient fait l’objet d’un accès non autorisé et avaient été exfiltrés ce même jour.

Après avoir identifié les fichiers concernés, l’entreprise les a examinés de manière exhaustive pour déterminer leur contenu et les personnes auxquelles les informations se rapportaient. L’avis public ne précise ni l’auteur de l’incident, ni le mode d’accès initial, ni un éventuel logiciel malveillant, ni une éventuelle demande de rançon, ni si les données ont été rendues publiques.

Les données susceptibles d’être présentes comprennent les noms, les numéros de sécurité sociale, les dates de naissance, les numéros de permis de conduire ou de cartes d’identité délivrées par un État, les numéros de passeport et les numéros d’autres cartes d’identité délivrées par les autorités. Les informations variant selon les personnes, il ne faut pas supposer que chaque type de donnée figurait dans chaque fichier ou concernait chaque ancien salarié.

L’association d’un SSN, d’une date de naissance et d’une pièce d’identité officielle crée un risque important de demandes de crédit frauduleuses, d’utilisation frauduleuse de l’identité à des fins fiscales, de fraude aux allocations chômage et d’hameçonnage ciblé particulièrement crédible. Les anciens salariés doivent se montrer particulièrement prudents face aux messages prétendant relever de la procédure de faillite ou des ressources humaines de l’entreprise. Ne transmettez pas de documents ni de codes de vérification par l’intermédiaire de liens inattendus affichant la marque Yellow.

L’avis officiel mentionne séparément les numéros de comptes financiers et les numéros de cartes de paiement. Ces données pourraient permettre des paiements non autorisés, une utilisation abusive des procédures de vérification des comptes ou des escroqueries usurpant l’identité d’une banque. L’entreprise soulignant l’ancienneté des données, des identifiants de comptes clôturés et des données susceptibles d’être encore valides pourraient figurer dans le même ensemble de fichiers.

Le texte public ne confirme pas précisément la présence d’un nom de banque, d’un type de compte, d’un numéro d’acheminement bancaire, d’une date d’expiration de carte, d’un CVV, d’un PIN, d’un mot de passe de banque en ligne ou d’un historique de transactions. Les destinataires de l’avis doivent vérifier leurs comptes anciens comme actuels afin de repérer des opérations inconnues ou de nouveaux créanciers.

Yellow a confirmé que les fichiers concernés pouvaient contenir des informations médicales et d’assurance santé. La plupart des dossiers appartenant à d’anciens salariés, ces catégories pourraient se rapporter aux avantages sociaux, aux congés, aux accidents du travail ou à la gestion des assurances, mais l’avis officiel ne confirme aucune origine précise.

Le document ne détaille pas les données cliniques ou d’assurance, telles que les diagnostics, les traitements, les prescriptions, les numéros de dossiers médicaux, les numéros de contrats d’assurance, les dates des prestations ou les noms des prestataires de soins. Les anciens salariés doivent examiner les décomptes de prestations de leur assurance santé et les factures des prestataires de soins pour repérer des services ou des demandes de remboursement qu’ils ne reconnaissent pas.

Les documents des États cités dans les sources font état de 13 183 résidents du Texas, de 491 résidents du Massachusetts et de 37 résidents du Vermont. Il s’agit de groupes distincts par État, et non d’un total excluant les doublons pour l’ensemble des États-Unis.

Yellow a sécurisé ses systèmes, mené une enquête approfondie, mis en place des protections techniques supplémentaires et publié un avis public. Une ligne d’assistance au 833-289-4340 a été ouverte de 9 h à 21 h, heure de l’Est, en semaine. Les destinataires de l’avis doivent surveiller leurs rapports de crédit, leurs relevés bancaires et de cartes de paiement, ainsi que l’activité liée à leur assurance santé; lorsqu’un SSN était concerné, un gel du dossier de crédit, une alerte à la fraude et un code IRS Identity Protection PIN peuvent être appropriés.