L'actualité de la semaine en matière de violations de données

Amérique du Nord

FinWise Bank

Toutes les attaques ne proviennent pas de l'extérieur. Outre la recrudescence des menaces internes observée ces derniers mois, la société américaine de fintech FinWise Bank a averti que les données de ses clients auraient pu être compromises à la suite d'une attaque malveillante perpétrée par un employé.

FinWise Bank, qui fournit des services bancaires et des solutions technologiques aux organismes financiers, a révélé qu'un ancien employé aurait pu accéder aux données de ses clients ou s'en être emparé après avoir quitté l'entreprise. La société basée dans l'Utah a confirmé que les données personnelles de 689 000 clients, comprenant notamment leurs noms complets et d'autres éléments non divulgués, auraient pu être compromises. Certaines des données exposées appartenaient à American First Finance (AFF), un prêteur spécialisé dans les crédits aux personnes ayant un mauvais dossier de crédit, qui s'est associé à FinWise pour proposer des prêts à tempérament.

Selon un document déposé auprès du bureau du procureur général du Maine, l'incident s'est produit le 31 mai 2024, mais n'a été détecté que le 18 juin de cette année. En réponse, FinWise offre à tous les clients concernés 12 mois de surveillance gratuite du crédit et de protection contre l'usurpation d'identité.

Il s'agit du dernier épisode en date d'une série croissante d'attaques malveillantes commises par des initiés, aux enjeux considérables. Au début du mois de mai, Coinbase Global, Inc., une plateforme américaine d'échange de cryptomonnaies, a également été victime d'un incident similaire lorsqu'un membre du personnel d'assistance basé à l'étranger a accepté un pot-de-vin et dérobé des données appartenant à près de 70 000 clients.

Amérique du Nord

Ministère des Finances du Michigan

Le ministère des Finances du Michigan a exhorté les habitants à ignorer les SMS non sollicités envoyés par des cybercriminels se faisant passer pour l'administration et exigeant des informations bancaires personnelles.

Le 15 septembre 2025, le département a confirmé qu'une vaste campagne de smishing circulait dans tout l'État. Ces SMS frauduleux, qui semblent provenir de l'agence, prétendent qu'un remboursement a été traité et exigent que les contribuables fournissent des coordonnées bancaires exactes, sous peine de perdre leur remboursement. Les responsables ont souligné que le Trésor ne communique avec les contribuables que par le biais de courriers officiels envoyés par le service postal américain et ont conseillé aux habitants de supprimer immédiatement tout SMS de ce type.

Ce n'est pas la première fois que des agences de l'État du Michigan sont la cible d'attaques par smishing. En avril dernier, le ministère des Transports avait déjà lancé une alerte concernant des SMS frauduleux se faisant passer pour E-ZPass et d'autres systèmes de péage, exigeant le paiement de frais et demandant des informations relatives aux cartes de crédit.

Amérique du Nord

Faille de sécurité chez un fournisseur de Stellantis (société mère de Jeep et Chrysler)

Stellantis a annoncé le 21 septembre 2025 qu'un prestataire tiers chargé de ses opérations de service client en Amérique du Nord avait fait l'objet d'un accès non autorisé. Les premières conclusions indiquent que des informations de contact de base des clients (par exemple, noms, adresses e-mail, numéros de téléphone) ont été exposées ; Stellantis précise qu'aucune donnée financière, aucun numéro d'identification gouvernemental ni aucune autre donnée personnelle hautement sensible ne semble avoir été compromis. L'entreprise a activé ses procédures d'intervention en cas d'incident, informé les clients concernés et les autorités de régulation, et averti les clients de rester vigilants face à d'éventuelles tentatives de phishing ou d'ingénierie sociale. L'enquête et les mesures correctives prises par le fournisseur sont en cours.

Amérique du Nord

Tiffany & Co.

Le joaillier de luxe américain Tiffany & Co. a informé plus de 2 500 clients aux États-Unis et au Canada que des pirates informatiques avaient dérobé leurs données personnelles.

Selon le communiqué de l'entreprise, un pirate informatique a accédé sans autorisation aux systèmes de Tiffany vers le 12 mai 2025. L'enquête a révélé que l'attaquant avait mis la main sur des données relatives aux cartes-cadeaux Tiffany, notamment des noms, des adresses e-mail, des adresses postales, des numéros de téléphone, des détails de vente, des numéros de cartes-cadeaux et des codes PIN.

Tiffany fait partie du géant français du luxe LVMH, qui détient également des marques telles que Louis Vuitton, Dior et Givenchy. Plusieurs marques du groupe LVMH, dont Louis Vuitton, Dior et Tiffany, ont récemment été victimes d'une campagne de piratage visant Salesforce. On ignore encore si la faille révélée cette semaine est liée à cette campagne ou s'il s'agit d'une intrusion distincte.

Amérique du Nord

Ville de Bluffton, Caroline du Sud

La ville de Bluffton a averti les habitants et les entreprises figurant sur ses listes de diffusion d'une tentative d'hameçonnage survenue le vendredi 12 septembre.

De nombreux destinataires ont signalé avoir reçu un courriel malveillant dont l'objet était « Ville de Bluffton ». Ce courriel comportait une pièce jointe et invitait les utilisateurs à saisir un code d'accès sur une fausse page de connexion à Microsoft Outlook. Les responsables ont précisé que la ville n'envoyait jamais de courriels demandant des codes d'accès.

Heureusement, l'équipe informatique de la ville a réagi rapidement pour endiguer l'attaque. Bien que l'e-mail ait été envoyé depuis une adresse de la ville usurpée, le service informatique a pu le retirer et limiter les conséquences.

Amérique du Nord

Pollard & Associates, S.A.S.

Pollard & Associates, Inc., une société de gestion externe spécialisée dans les régimes de retraite indépendants, a confirmé une fuite de données qui a touché des milliers de personnes.

L'entreprise a signalé que des activités suspectes avaient été détectées sur son réseau vers le 15 mai 2025. Une enquête a ensuite révélé qu'un individu non autorisé avait copié des fichiers vers le 8 avril 2025. Un examen ultérieur a permis de déterminer, le 15 juillet, que cette violation avait compromis des informations personnelles et financières sensibles appartenant à au moins 17 907 personnes. Les données exposées comprenaient des noms, des numéros de sécurité sociale et des informations relatives à des comptes financiers.

Le 16 septembre, l'entreprise a commencé à envoyer des notifications aux personnes concernées. Cette violation a également été signalée aux procureurs généraux du Maine, du Montana, du Massachusetts et du Vermont.