2.7 millions de données exposées dans l'écart Navia: comment vous protéger contre la fraude et le vol d'identité

Navia Benedit Solutions a informé près de 2,7 millions de personnes que certaines de leurs données personnelles pourraient être laissées aux attaquants après une intrusion qui, selon la société elle-même, a affecté leurs systèmes pendant plusieurs semaines à la fin de 2025 et au début de 2025. C'est une lacune majeure dans une entreprise qui gère les avantages de la santé et des transports pour des milliers d'employeurs et leurs conséquences doivent être comprises sans alarme mais avec pause et action.

La société a expliqué dans sa communication aux personnes concernées que l'activité non autorisée avait eu lieu entre le 22 décembre 2025 et le 15 janvier 2025, et qu'elle avait été détectée le 23 janvier, lorsque les enquêtes internes ont commencé. La notification aux intéressés est disponible dans le document public que Navia a publié sur le réseau: la notification officielle de Navia.

Selon sa propre enquête, les agresseurs ont pu copier des renseignements personnels sensibles : noms complets, dates de naissance, numéros de sécurité sociale, téléphones et courriels, ainsi que des données relatives à leur participation à des comptes de remboursement et d'épargne comme HRA, FSA et COBRA. Navia a souligné qu'aucune réclamation médicale ou information financière directe n'aurait été compromise, mais qu'elle n'a pas les données filtrées sont suffisantes pour les campagnes d'hameçonnage et pour les tentatives de remplacement de l'identité.

Navia affirme avoir réagi immédiatement, ouvert une enquête médico-légale et signalé l'incident aux forces fédérales. Il a également offert aux personnes touchées une année gratuite de protection de l'identité et de surveillance du crédit par l'intermédiaire de Kroll; en outre, dans la lettre qu'il a envoyée, il recommande d'envisager la mise en place d'alertes de fraude ou le gel du dossier de crédit. La pratique consistant à offrir ces outils après un écart est récurrente, bien qu'elle ne remplace pas les mesures préventives que chaque individu peut prendre seul. Informations pratiques sur les mesures à prendre après un vol d'identité disponibles sur le portail du Gouvernement des États-Unis : vol d'identité.gov.

Pourquoi ces types d'entreprises sont-ils des cibles attrayantes? Les gestionnaires de prestations tels que Navia gèrent des ensembles de données personnelles très précieux : identifiants uniques, données de contact et liens vers des services médicaux ou de transport. Ce n'est pas seulement pour les criminels qui cherchent à vendre des bases de données sur le marché criminel, mais aussi pour les acteurs qui préparent des attaques dirigées par l'ingénierie sociale. Une base de données avec nom, SSN et date de naissance est un raccourci pour la fraude.

Si vous êtes préoccupé par la façon de vous protéger après une telle notification, les recommandations pratiques vont en activant la surveillance du crédit et en évaluant un gel de la sécurité dans les trois principales agences de crédit américaines. États-Unis: Equifax, Experian et TransUnion. Le gel empêche l'ouverture de nouveaux comptes à votre nom sans votre autorisation préalable. D'autres mesures comprennent une surveillance étroite des communications inattendues demandant la confirmation de données ou de paiements et ne cliquant pas sur des liens suspects; il est bien sûr approprié de contacter directement l'entité concernée par les canaux officiels. Le FBI et la CISA publient des guides utiles sur la façon de gérer les incidents et les ransomwares : IC3 (FBI) et CISA - Stop Ransomware.

Au niveau de l'organisation, l'incidence met de nouveau en lumière les pratiques qui réduisent le risque et l'impact des intrusions : limiter la conservation de données inutiles, segmenter et renforcer l'accès aux systèmes critiques, déployer l'authentification multifactorielle et tenir des dossiers et des détections avec les outils EDR et SIEM pour détecter les mouvements latéraux le plus rapidement possible. Les guides d'intervention en cas d'incident du NIST continuent de faire référence aux processus de détection, de confinement et de récupération des structures : NIST SP 800-61r2.

Un autre point à prendre en compte est que, du moins jusqu'au moment de la notification, aucun groupe de ransomware ou d'acteur criminel n'a publiquement attribué l'auteur de l'attaque contre Navia. Ce n'est pas rare : dans de nombreuses intrusions, les attaquants exploitent simplement l'information ou la vendent à des tiers sans annoncer publiquement l'opération. Face à ces inconnues, il est positif que l'entreprise ait communiqué et offert des ressources aux personnes touchées, bien que la seule communication ne corrige pas l'exposition aux données.

Pour les professionnels et les responsables de la sécurité, la leçon est double: d'une part, le renforcement de la protection des fournisseurs et des tiers qui manipulent des données sensibles est aussi important que la garantie d'une infrastructure interne; d'autre part, le contrôle et la réduction de la quantité d'informations conservées peuvent limiter les dommages en cas de fuite. L'Administration des services de santé et d'autres organismes de réglementation tiennent des dossiers et des lignes directrices pour signaler les lacunes et protéger les utilisateurs; il est recommandé de les consulter et de suivre leurs recommandations. Une ressource pertinente pour voir les notifications et les tendances dans le secteur de la santé est le portail de déclaration des violations des données du SHS: Portail de rupture de HHS.

Si vous avez reçu une lettre de Navia ou suspecté que vos données pourraient être impliquées, agissez rapidement mais sans panique : activez les services offerts, contrôlez votre courrier et votre facturation pour les anomalies, valorisez le gel du crédit et, face à toute tentative de soumission ou de fraude, signalez et documentez ce qui s'est passé pour faciliter toute enquête. La protection de l'identité n'est pas seulement un outil contracté après un écart, mais une habitude qui devrait être incorporée de façon permanente.

Navia et ses clients font maintenant face au stade de la guérison, de l'apprentissage et du renforcement des contrôles. Pour ceux d'entre nous qui dépendent de gestionnaires de profits, la nouvelle devrait rappeler que la sécurité est une responsabilité partagée : les entreprises doivent investir dans des mesures et des processus techniques; et les gens doivent maintenir des habitudes de surveillance et être prudents avec des communications inattendues. Pour savoir comment ces intrusions font l'objet d'une enquête et comment elles sont traitées, consultez la page de Kroll sur la protection de l'identité et la réponse à l'incident : Kroll - Protection de l'identité ainsi que les ressources gouvernementales déjà mentionnées.