La fuite chez un prestataire de Texas Parks and Wildlife expose 3 millions de détenteurs de permis

Le 18 juin 2026, le Texas Parks and Wildlife Department (TPWD) — l'agence d'État qui délivre les permis de chasse et de pêche aux Texans — a révélé publiquement une fuite de données survenue chez le prestataire tiers qui traite la vente de ses permis, exposant les informations personnelles de plus de trois millions de personnes. Il s'agit de l'une des plus importantes fuites de données d'une administration d'État américaine divulguées jusqu'ici en 2026, et d'un rappel du risque démesuré que les prestataires externalisés font peser sur les données du secteur public.

Ce qui s'est passé

Selon TPWD, la fuite ne s'est pas produite sur ses propres systèmes mais sur ceux d'un prestataire externe qui traite les transactions de permis de chasse et de pêche pour le compte de l'agence. Texas Cyber Command a détecté un accès non autorisé dans l'environnement du prestataire et en a informé TPWD le 13 mai 2026. Le département a publié une notification officielle d'incident de sécurité des données le 12 juin 2026, puis a procédé à une divulgation publique plus large le 18 juin 2026.

L'agence a indiqué que son enquête n'avait pas déterminé la date de l'intrusion initiale, la manière dont l'attaquant avait pénétré le système, ni la durée de son accès. Le prestataire à l'origine de la fuite n'a pas été nommé publiquement et, au moment de la divulgation, aucun autre État n'avait signalé d'incident lié.

Impact

TPWD a précisé que les données exposées concernaient 3 087 721 personnes et comprenaient des numéros de permis de conduire, des numéros de passeport (lorsque les clients en avaient fourni), des adresses e-mail, des numéros de téléphone et des adresses postales. Le département a affirmé que les numéros de sécurité sociale, les dates de naissance et les informations financières — y compris les données de carte bancaire — n'avaient pas été obtenus lors de l'incident.

En réponse, TPWD a mis en place un centre d'appels dédié et proposé aux personnes concernées une surveillance de crédit gratuite, avec une date limite d'inscription fixée au 14 septembre 2026. Aucun acteur malveillant n'a revendiqué l'attaque et le département n'a fait état d'aucune demande de rançon.

Pourquoi c'est important

Cette fuite illustre à quel point les données d'une administration ne sont jamais plus sûres que les prestataires auxquels elle confie les dossiers de ses citoyens. Les numéros de permis de conduire et de passeport sont des identifiants durables qui alimentent l'usurpation d'identité et la fraude pendant des années, et leur exposition à grande échelle est bien plus difficile à corriger qu'une simple réinitialisation de mot de passe. L'incident rappelle pourquoi les organismes publics devraient soumettre leurs prestataires tiers aux mêmes exigences de sécurité et de notification que leurs propres systèmes, et recenser précisément quels champs sensibles ces prestataires détiennent.