Madame, Monsieur,

Nous vous informons d’un incident de sécurité susceptible de concerner vos données personnelles.

Que s’est-il passé ?

Nous avons constaté que des personnes non autorisées ont exploité une vulnérabilité présente dans une extension (plugin) de notre site web WordPress. Elles ont ainsi obtenu un accès non autorisé à notre site de production.

Bien que notre enquête ne démontre pas que vos données personnelles ont effectivement été consultées ou copiées, nous ne pouvons malheureusement pas l’exclure avec certitude. C’est pourquoi nous vous informons de cet incident à titre préventif.

Quelles données peuvent être concernées ?

Les données personnelles suivantes sont potentiellement concernées :

• Comptes administrateurs — nom, adresse e-mail, mot de passe. L’interception des mots de passe est confirmée. Personnes concernées : collaborateurs et quelques parties externes (± 6 à 7 comptes).
• Soumissions de formulaires (Gravity Forms). Données collectées à travers les différents formulaires : nom, sexe, adresse e-mail, numéro de téléphone, adresse postale, nom de l’entreprise, messages en texte libre, fichiers (sensibles) téléversés et enregistrements de consentement.
  • Formulaires de plainte
    • Dans un contexte de plaintes relatives aux maisons de repos et de soins, il s’agit typiquement de lettres de plainte, de rapports, d’attestations, de documents (sensibles) téléversés, de données de santé, de données de tiers, de personnes concernées vulnérables, de données judiciaires, ainsi que de photos et de documents visuels. Ces fichiers n’étaient pas téléchargeables publiquement (ils étaient protégés), mais restaient accessibles à toute personne disposant de l’accès administrateur / serveur / base de données dont l’attaquant disposait.

Quelles mesures avons-nous prises ?

Dès la constatation de l’incident, nous avons immédiatement pris les mesures (techniques) nécessaires afin de rétablir la sécurité de nos systèmes et de limiter tout risque supplémentaire. La faille dans l’extension a été corrigée et l’accès de l’attaquant a été coupé.

Par ailleurs, nous avons notifié cet incident de sécurité à l’Autorité de protection des données (APD).

Que pouvez-vous faire de votre côté ?

Bien qu’il n’existe actuellement aucun indice d’une utilisation abusive de vos données personnelles, nous vous recommandons, par précaution, de rester vigilant(e) face aux e-mails, messages ou appels téléphoniques suspects sollicitant des données personnelles. Soyez également prudent(e) avec les liens ou pièces jointes provenant d’expéditeurs inconnus.

Des questions ?

Nous comprenons que ce message puisse susciter des interrogations. Si vous souhaitez de plus amples informations ou si vous avez des questions concernant cet incident, vous pouvez nous contacter via :

E-mail : privacy@armonea.be

Nous regrettons vivement cet incident et vous présentons nos sincères excuses pour les désagréments éventuels. La protection de vos données personnelles reste une priorité pour nous et nous continuons à suivre la situation de près.

Veuillez agréer, Madame, Monsieur, nos salutations distinguées.

L’équipe DPO