L’assureur automobile américain AssuranceAmerica a reconnu une fuite de données touchant environ 6,99 millions de personnes, selon les notifications déposées auprès des procureurs généraux de l’Indiana et du Maine. Les pirates sont repartis avec des noms, des coordonnées et surtout des numéros de permis de conduire.
Quelles données ont fuité
D’après l’avis envoyé aux clients, rapporté par TechCrunch le 8 juillet, les données dérobées comprennent :
- noms et coordonnées ;
- numéros de permis de conduire ;
- informations sur les contrats et comptes d’assurance auto ;
- informations sur les conducteurs et les véhicules ;
- détails des sinistres déclarés.
L’assureur ne précise pas si d’autres catégories de données personnelles ont été touchées. Le chiffre de TechCrunch (6,9 millions dans le corps de l’article) et celui des registres des États (6,99 millions) diffèrent légèrement ; nous retenons le second, issu des déclarations officielles.
Chronologie
| Date | Événement |
|---|---|
| 17 mars 2026 | AssuranceAmerica détecte des intrus dans ses systèmes |
| 15 juin 2026 | Fin de l’enquête interne : vol de données clients confirmé |
| 8 juil. 2026 | La fuite est rendue publique (TechCrunch, registres de l’Indiana et du Maine) |
| 10 juil. 2026 | Envoi prévu des lettres de notification aux clients |
Près de quatre mois séparent donc la détection de l’intrusion de l’information des victimes.
Un employé ciblé
L’assureur explique que les attaquants ont « ciblé l’un des employés de l’entreprise », puis qu’il a désactivé les identifiants compromis. Il ne dit pas comment ces identifiants ont été obtenus : hameçonnage, réutilisation de mot de passe ou logiciel espion de type infostealer, l’hypothèse avancée par ZATAZ sans confirmation. Les dirigeants n’ont pas répondu aux questions de TechCrunch sur un éventuel contact avec les pirates ou le paiement d’une rançon.
Le scénario est désormais classique : un seul compte, sans protection suffisante, donne accès à une base clients entière. C’est précisément ce que l’authentification multifacteur résistante au phishing et la limitation des droits d’accès aux données en masse doivent empêcher.
Un numéro de permis de conduire ne se change pas comme un mot de passe. Associé au nom, à l’adresse et aux informations du véhicule, il facilite l’usurpation d’identité et les fraudes à l’assurance pendant des années.
Que faire si vous êtes concerné
- Lisez attentivement la lettre de notification et utilisez uniquement les coordonnées qu’elle indique pour contacter l’assureur.
- Aux États-Unis, envisagez un gel de crédit auprès des trois bureaux de crédit, et surveillez toute ouverture de compte ou demande de crédit inhabituelle.
- Méfiez-vous des appels ou emails qui citent votre contrat ou un sinistre pour réclamer un paiement ou des informations complémentaires : les fraudeurs disposent désormais de ces détails.