L'actualité de la semaine en matière de violations de données 24 septembre 2025

Toutes les attaques ne proviennent pas de l'extérieur. Outre la recrudescence des menaces internes observée ces derniers mois, la société américaine de fintech FinWise Bank a averti que les données de ses clients pourraient avoir été compromises à la suite d'une attaque malveillante perpétrée par un employé.

FinWise Bank, qui fournit des services bancaires et des solutions technologiques aux organismes financiers, a révélé qu'un ancien employé aurait pu accéder aux données de ses clients ou s'en être emparé après avoir quitté l'entreprise. La société, basée dans l'Utah, a confirmé que les données personnelles de 689 000 clients, notamment leurs noms complets et d'autres éléments non divulgués, auraient pu être compromises. Certains des dossiers exposés appartenaient à American First Finance (AFF), un prêteur spécialisé dans les clients à faible solvabilité qui s'est associé à FinWise pour proposer des prêts à tempérament.

Selon un document déposé auprès du bureau du procureur général du Maine, l'incident s'est produit le 31 mai 2024, mais n'a été détecté que le 18 juin de cette année. En réponse, FinWise propose à tous les clients concernés 12 mois de surveillance gratuite de leur crédit et de protection contre l'usurpation d'identité.

Il s'agit du dernier épisode en date d'une série croissante d'attaques malveillantes commises par des initiés, aux enjeux considérables. Au début du mois de mai, Coinbase Global, Inc., une plateforme américaine d'échange de cryptomonnaies, avait également été victime d'un incident similaire : un membre du personnel d'assistance basé à l'étranger avait accepté un pot-de-vin et volé des données appartenant à près de 70 000 clients.

Le ministère des Finances du Michigan a exhorté les habitants à ignorer les SMS non sollicités envoyés par des cybercriminels se faisant passer pour cette administration et exigeant des informations bancaires personnelles.

Le 15 septembre 2025, le département a confirmé l'existence d'une vaste campagne de « smishing » circulant dans tout l'État. Ces SMS frauduleux, qui semblent provenir de l'agence, indiquent qu'un remboursement a été traité et exigent que les contribuables fournissent des informations de paiement exactes, sous peine de perdre ce remboursement. Les responsables ont souligné que le Trésor ne communique avec les contribuables que par le biais de courriers officiels envoyés par le service postal américain et ont conseillé aux habitants de supprimer immédiatement tout SMS de ce type.

Ce n'est pas la première fois que des agences de l'État du Michigan sont la cible d'une arnaque par SMS. En avril dernier, le ministère des Transports avait déjà lancé une alerte concernant des SMS frauduleux se faisant passer pour E-ZPass et d'autres systèmes de péage, exigeant le paiement de frais et demandant des informations relatives aux cartes bancaires.

Stellantis a annoncé le 21 septembre 2025 qu'un prestataire tiers assurant le soutien de ses opérations de service client en Amérique du Nord avait fait l'objet d'un accès non autorisé. Les premières conclusions indiquent que des informations de contact de base des clients (par exemple, noms, adresses e-mail, numéros de téléphone) ont été exposées ; Stellantis précise qu'aucune donnée financière, aucun numéro d'identification national ni aucune autre donnée personnelle hautement sensible ne semble avoir été compromis. L'entreprise a activé ses procédures d'intervention en cas d'incident, a informé les clients concernés et les autorités de régulation, et a averti ses clients de rester vigilants face à d'éventuelles tentatives de hameçonnage ou d'ingénierie sociale. L'enquête et les mesures correctives prises par le prestataire sont en cours.

Le joaillier de luxe américain Tiffany & Co. a informé plus de 2 500 clients aux États-Unis et au Canada que des pirates informatiques avaient dérobé leurs données personnelles.

Selon le communiqué de l'entreprise, un pirate informatique a accédé sans autorisation aux systèmes de Tiffany vers le 12 mai 2025. L'enquête a révélé que l'attaquant s'était emparé de données relatives aux cartes-cadeaux Tiffany, notamment des noms, des adresses e-mail, des adresses postales, des numéros de téléphone, des détails de vente, des numéros de cartes-cadeaux et des codes PIN.

Tiffany fait partie du géant français du luxe LVMH, qui détient également des marques telles que Louis Vuitton, Dior et Givenchy. Plusieurs marques du groupe LVMH, dont Louis Vuitton, Dior et Tiffany, ont récemment été victimes d'une campagne d'intrusion visant Salesforce. On ignore encore si la faille révélée cette semaine est liée à cette campagne ou s'il s'agit d'une intrusion distincte.

La ville de Bluffton a alerté les habitants et les entreprises figurant sur ses listes de diffusion au sujet d'une attaque par hameçonnage survenue le vendredi 12 septembre.

De nombreux destinataires ont signalé avoir reçu un e-mail malveillant dont l'objet était « Ville de Bluffton ». Cet e-mail comportait une pièce jointe et invitait les utilisateurs à saisir un code d'accès sur une fausse page de connexion à Microsoft Outlook. Les responsables ont précisé que la ville n'envoyait jamais d'e-mails demandant des codes d'accès.

Heureusement, l'équipe informatique de la ville a réagi rapidement pour endiguer l'attaque. Bien que l'e-mail ait été envoyé depuis une adresse de la ville usurpée, le service informatique a pu rappeler le message et limiter les conséquences.

Pollard & Associates, Inc., une société de gestion tierce spécialisée dans les régimes de retraite indépendants, a confirmé une fuite de données ayant touché des milliers de personnes.

L'entreprise a signalé qu'une activité suspecte avait été détectée sur son réseau vers le 15 mai 2025. Une enquête a par la suite révélé qu'un individu non autorisé avait copié des fichiers vers le 8 avril 2025. Un examen ultérieur a permis de déterminer, le 15 juillet, que cette violation avait compromis des informations personnelles et financières sensibles appartenant à au moins 17 907 personnes. Les données exposées comprenaient des noms, des numéros de Sécurité sociale et des informations relatives à des comptes financiers.

Le 16 septembre, l'entreprise a commencé à envoyer des notifications par courrier aux personnes concernées. Cette violation a également été signalée aux procureurs généraux du Maine, du Montana, du Massachusetts et du Vermont.