Infosys McCamish Systems (IMS) a révélé que l’attaque de ransomware LockBit dont elle a été victime plus tôt cette année a eu un impact sur les informations sensibles de plus de six millions de personnes.
IMS est une multinationale qui fournit des services de conseil aux entreprises, de technologie de l’information et d’externalisation. Elle est spécialisée dans la couverture des besoins des entreprises des secteurs de l’assurance et des services financiers.
La société est très présente aux États-Unis, au service de grandes institutions financières telles que Bank of America et de sept des dix principaux assureurs du pays.
En février 2024, IMS a informé le public qu’il avait été touché par un ransomware en novembre 2023, ce qui a entraîné la compromission des données personnelles d’environ 57 000 clients de Bank of America.
À l’époque, LockBit a revendiqué l’attaque et a déclaré qu’il avait crypté 2 000 ordinateurs sur le réseau IMS.
Dans une nouvelle notification partagée avec les autorités américaines, IMS indique désormais que le nombre total de personnes touchées par l’attaque de ransomware de novembre 2023 est d’un peu plus de 6 millions.
” Avec l’aide d’experts en découverte électronique tiers, retenus par l’intermédiaire d’un avocat externe, IMS a procédé à un examen approfondi et chronophage des données en cause pour identifier les renseignements personnels faisant l’objet d’un accès et d’une acquisition non autorisés et déterminer à qui se rapportent les renseignements personnels », lit-on dans la notification.
« IMS a informé les organisations touchées de l’Incident et de la compromission de toute information personnelle les concernant.”
Les données confirmées comme compromises varient d’un individu à l’autre, mais comprennent les éléments suivants:
- Numéro de Sécurité Sociale (SSN)
- Date de naissance
- Traitement médical / informations sur le dossier
- Données biométriques
- Adresse e-mail et mot de passe
- Nom d’utilisateur et mot de passe
- Numéro de permis de conduire ou numéro d’identification de l’État
- Informations sur les comptes financiers
- Informations de carte de paiement
- Numéro de passeport
- Numéro d’identification tribal
- Numéro d’identification militaire américain
Pour atténuer le risque lié à l’exposition, les lettres de notification contiennent des instructions sur la manière d’accéder à un service gratuit de protection de l’identité et de surveillance du crédit pendant deux ans via Kroll.
IMS n’a pas divulgué lesquels de ses clients ont été touchés, à l’exception d’Oceanview Life and Annuity Company (OLAC), un fournisseur de rentes fixes et indexées fixes basé en Arizona qui garantit un revenu de retraite aux assurés.
L’avis d’IMS mentionne que la liste des propriétaires de données concernés, qui ne répertorie actuellement que l’OLAC, peut être complétée sur une base continue à mesure que de plus en plus de clients demandent à être nommés dans le dépôt.