Cabinet d’avocats : une faille expose 3,5 millions de personnes

Un cabinet d’avocats réputé dans la tourmente. Une violation de données de grande ampleur a touché Wolf Haldenstein, mettant en danger les informations personnelles de millions d’individus.

Malgré la détection initiale de l’incident en décembre 2023, Wolf Haldenstein a découvert qu’un accès non autorisé avait visé son environnement informatique. En réponse, le cabinet a immédiatement sécurisé ses systèmes et entamé une enquête approfondie, assisté par des experts externes en cybersécurité, afin de déterminer la portée et la nature de l’incident. Les détails n’ont été révélés qu’après des mois d’investigation. L’incident a été détecté quatre mois plus tard et finalement rendue publique fin 2024.

L’attaque de décembre 2023 a permis à des acteurs malveillants d’accéder à des données sensibles, on parle ici de 3 445 537 de personnes concernées (sic!), notamment des noms, numéros de sécurité sociale, diagnostics médicaux, et des informations relatives aux indemnisations. Ces éléments constituent une cible de choix pour les cybercriminels, ouvrant la porte à des risques accrus de vol d’identité, de fraudes financières et de revente dans le dark web. Le cabinet a engagé une société spécialisée pour analyser l’ampleur de la brèche et renforcer ses mesures de sécurité. Cependant, le processus de notification des personnes concernées s’est révélé complexe. Au 3 décembre 2024, Wolf Haldenstein avait identifié les individus potentiellement touchés, mais n’a pas pu tous les informer directement, faute d’adresses valides.

Une gestion de crise sous haute surveillance

Le 10 janvier 2025, soit plus d’un an après la détection de la malveillance informatique, le cabinet d’avocats indique : « Wolf Haldenstein Adler Freeman & Herz LLP (“Wolf Haldenstein”) informe le public qu’un événement récent pourrait concerner la sécurité de certaines informations en sa possession. La confidentialité et la protection des données qu’il gère constituent des priorités essentielles pour ce cabinet. […] L’enquête a révélé que des données sensibles, comprenant possiblement des informations personnelles, ont pu être exposées. Sur la base de ces découvertes, Wolf Haldenstein a identifié les personnes concernées et leur a envoyé des courriers de notification, conformément aux exigences légales. Par précaution, le cabinet a proposé des services de surveillance de crédit et de protection d’identité gratuits aux individus potentiellement affectés.« 

La gestion de cette crise a soulevé des questions sur la capacité de Wolf Haldenstein à protéger les données qu’il détient. Dès la détection de l’activité suspecte sur son réseau, le cabinet a pris des mesures pour sécuriser ses systèmes. Toutefois, le retard dans la détection de l’attaque, de  l’identification des données compromises et dans la notification des victimes a suscité des critiques.

La loi américaine impose aux entreprises victimes de violations de données de communiquer rapidement sur les incidents affectant les informations personnelles. Dans ce cas, le délai entre la découverte de l’incident et sa divulgation a dépassé les standards habituels, 1 an.

Les informations exposées incluaient notamment des diagnostics médicaux et des demandes d’indemnisation médicale, des données particulièrement sensibles et protégées par des lois strictes comme la Health Insurance Portability and Accountability Act (HIPAA). Bien que le cabinet ait affirmé qu’il n’existe aucune preuve d’une utilisation malveillante des données. Pas encore, pense ZATAZ, pas encore !

Inscrivez-vous gratuitement à la newsletter de ZATAZ. Rejoignez également notre groupe WhatsApp et nos réseaux sociaux pour accéder à des informations exclusives, des alertes en temps réel et des conseils pratiques pour protéger vos données.