Fuite chez Hertz

Le 15 avril 2025, Hertz — le loueur de voitures mondial, qui exploite également les marques Dollar et Thrifty — a confirmé une fuite de données touchant un nombre indéterminé de clients. L'incident ne découle pas d'une intrusion directe dans les systèmes de Hertz, mais d'une compromission de la chaîne d'approvisionnement chez l'un de ses prestataires, Cleo Communications.

La fuite remonte à l'exploitation massive, par le groupe de rançongiciel CL0P, de failles zero-day (CVE-2024-50623 et CVE-2024-55956) dans les produits de transfert de fichiers gérés de Cleo — Harmony, VLTrader et LexiCom. Les attaquants ont accédé aux données de Hertz via cette plateforme en octobre et décembre 2024. Hertz a confirmé l'accès non autorisé le 10 février 2025 et a terminé son analyse des données vers le 2 avril 2025 avant de notifier les personnes concernées.

Les données exposées variaient selon les clients, mais pouvaient inclure :

• Noms et coordonnées
• Dates de naissance
• Informations de permis de conduire
• Données de cartes de crédit
• Données de passeport
• Pour un sous-ensemble plus restreint : numéros de sécurité sociale, autres pièces d'identité officielles et informations relatives aux demandes d'indemnisation des accidents du travail

Hertz n'a pas communiqué de chiffre total, estimant toutefois qu'il serait « inexact de parler de millions » de personnes touchées ; des déclarations réglementaires confirment au moins 3 400 clients dans l'État américain du Maine. L'entreprise a signalé l'incident aux forces de l'ordre et aux régulateurs, a déclaré n'avoir trouvé aucune preuve d'utilisation frauduleuse et a proposé des services gratuits de surveillance d'identité aux personnes les plus exposées.