L'actualité de la semaine en matière de violations de données 17 septembre 2025

Une nouvelle faille de sécurité a touché les administrations de l'État du Texas, cette fois-ci au sein du Texas General Land Office. Une erreur de configuration logicielle dans son système de subventions en ligne a entraîné la divulgation des données personnelles de plus de 40 000 personnes, ce qui constitue le dernier épisode en date d'une série inquiétante de failles affectant les administrations de l'État, les districts scolaires, les administrations des comtés et les services publics.

Selon le registre des incidents liés à la sécurité des données tenu par le procureur général du Texas, cette violation a touché 44 485 personnes. Les informations exposées comprennent les noms, adresses, numéros de Sécurité sociale, numéros d'identification, coordonnées bancaires, informations médicales et dates de naissance. Le problème a été découvert fin juillet lorsqu'un utilisateur du système « Texas Integrated Grant Reporting » s'est rendu compte qu'il pouvait consulter les informations d'autres utilisateurs via la fonction de recherche.

Un porte-parole du Service général du cadastre a confirmé que le problème avait été résolu dès qu'il avait été détecté. Toutefois, l'agence ignore depuis combien de temps cette erreur de configuration était présente ni combien d'enregistrements ont pu être consultés.

Une campagne de hameçonnage sophistiquée a vu le jour, ciblant les organisations qui utilisent Google Workspace. Les pirates envoient des e-mails frauduleux se faisant passer pour la plateforme AppSheet de Google dans le but de dérober des identifiants de connexion.

Découverte en août 2025, cette campagne exploite de fausses notifications ou demandes qui semblent provenir directement d'AppSheet. Les victimes sont invitées à examiner un projet, une source de données ou une application, avant d'être redirigées vers de fausses pages de connexion Google très réalistes, conçues pour imiter les portails de connexion légitimes, ce qui rend la supercherie difficile à détecter.

Les fonctionnaires de l'État du New Jersey comptent parmi les nombreuses victimes visées par cette campagne, qui met en évidence la manière dont les cybercriminels continuent d'exploiter des services cloud de confiance pour contourner les mesures traditionnelles de sécurité des e-mails.

Au début du mois, US HealthConnect, un prestataire de formation médicale continue et d'éducation préventive destiné aux professionnels de santé, a signalé un incident de cybersécurité au procureur général du Texas. Le rapport indiquait qu'un tiers non autorisé aurait pu accéder à des informations personnelles sensibles et à des données de santé protégées.

Le 25 janvier 2025, l'entreprise a détecté une activité suspecte au sein de son réseau informatique et a fait appel à des spécialistes externes en cybersécurité pour mener l'enquête. L'enquête a confirmé qu'un individu non autorisé avait accédé à ses systèmes et aurait pu se procurer certaines données, notamment des noms et des numéros de Sécurité sociale.

En réponse à cet incident, US HealthConnect a renforcé ses politiques et procédures de sécurité, en mettant en place des mesures de protection administratives et techniques supplémentaires. L'organisation propose également aux personnes concernées jusqu'à 24 mois de services gratuits de surveillance du crédit et de protection contre l'usurpation d'identité.

Des cybermenaces inquiétantes continuent de surgir dans l'État du Texas. Le 13 septembre, le district scolaire indépendant d'Uvalde a annulé les cours pendant plusieurs jours à la suite d'une attaque par rançongiciel.

Dans un message publié sur sa page Facebook, le district a confirmé qu'un rançongiciel avait été détecté sur ses serveurs, perturbant ainsi le fonctionnement de systèmes essentiels à la sécurité des établissements scolaires et à leur fonctionnement quotidien. Parmi les systèmes touchés figurent les téléphones, les systèmes de climatisation, la vidéosurveillance, la gestion des visiteurs et la plateforme Skyward, privant ainsi les établissements scolaires de l'accès à des outils indispensables.

Le district a indiqué que l'incident avait été signalé au Federal Bureau of Investigation (FBI), à son équipe chargée de la cybersécurité au sein de la compagnie d'assurance et à d'autres organismes compétents. Une enquête approfondie est en cours afin de déterminer l'origine du logiciel malveillant et de vérifier si des informations sensibles ont pu être compromises.

Le géant du streaming Plex invite ses clients à réinitialiser leurs mots de passe après avoir révélé une nouvelle faille de sécurité touchant l'une de ses bases de données d'utilisateurs.

Dans un message publié le 8 septembre, Plex a confirmé que des pirates avaient dérobé des informations relatives aux comptes, notamment des noms d’utilisateur, des adresses e-mail, des mots de passe cryptés et des données d’authentification non précisées. Bien que la société ait déclaré que les mots de passe étaient illisibles pour l’œil humain, on ignore encore si les données d’authentification volées pourraient être exploitées pour accéder aux comptes des clients. Cet incident fait écho à une faille de sécurité survenue en 2022, au cours de laquelle Plex avait exposé des types de données utilisateur similaires.

La société a conseillé à ses clients de réinitialiser leur mot de passe via le formulaire de réinitialisation de mot de passe de Plex et, par mesure de précaution supplémentaire, de se déconnecter de tous les appareils connectés.

Le ministère de la Santé de Nouvelle-Galles du Sud (NSW Health) a confirmé la fuite accidentelle de documents confidentiels appartenant à près de 600 membres du personnel médical.

Les données exposées comprenaient, selon certaines informations, des informations personnelles concernant des cadres médicaux actuels et anciens, ainsi que d'autres membres du personnel. En raison d'une erreur de configuration non précisée sur les sites web des districts sanitaires locaux de South Eastern Sydney et d'Illawarra Shoalhaven, des documents sensibles tels que des passeports, des permis de conduire, des cartes Medicare, des titres professionnels, des inscriptions professionnelles et des historiques professionnels étaient accessibles en ligne.

Tous les documents exposés ont depuis été retirés des sites web, et une enquête approfondie est en cours. Le ministère de la Santé de Nouvelle-Galles du Sud a indiqué qu'une analyse médico-légale était menée afin de déterminer l'ampleur de l'incident.