Publié le 28 octobre 2025 à 02h43. Les anciens et actuels agents fédéraux victimes de la méga-fuite de données de l’Office of Personnel Management (OPM) en 2015 pourraient perdre les services de protection de leur identité dès l’année prochaine, après une décennie de couverture financée par le gouvernement.
- IDX, la société prestataire de ces services, informe ses clients qu’ils devront désormais payer pour renouveler leur protection.
- Le contrat initial de 10 ans arrive à échéance, et l’OPM a transféré la gestion du contrat à l’Administration des services généraux (GSA).
- Des experts soulignent que cette violation de données, ciblant des informations sensibles, reste l’une des plus graves des 30 dernières années.
IDX, l’entreprise chargée de la protection de l’identité et de la surveillance du crédit depuis 2015, a récemment envoyé des courriels à ses clients les informant de la fin prochaine de la couverture gratuite. Les bénéficiaires devront désormais souscrire un abonnement payant pour continuer à bénéficier de ces services.
Ian Kelly, PDG d’IDX, a expliqué que l’OPM avait honoré son engagement de fournir une protection pendant dix ans, conformément à la loi. « L’adhésion à MyIDCare est le résultat des incidents de cybersécurité d’OPM survenus en 2015. La protection a été fournie conformément à la loi de crédits consolidée pour une période de 10 ans. L’OPM a honoré l’obligation de 10 ans, et les personnes inscrites verront leur couverture expirer au 10e anniversaire de leur date d’inscription », a-t-il déclaré dans un courriel au Federal News Network.
Les personnes qui se sont inscrites plus tard, y compris en 2026, verront également leur adhésion expirer après dix ans. En septembre, l’OPM a transféré la gestion du contrat avec IDX à l’Administration des services généraux (GSA) dans le cadre d’une initiative de centralisation. Le contrat actuel d’IDX, qui se poursuit jusqu’au 30 septembre 2026, a été renouvelé en 2019 par le biais d’un accord-cadre de la GSA.
Un responsable de l’OPM a confié au Federal News Network que le contrat allait expirer et que les agents fédéraux concernés devraient examiner leurs options en matière de protection de l’identité l’année prochaine. Il a également qualifié le contrat de « gaspillage d’argent », soulignant que le coût total pour les contribuables s’élève à 1 milliard de dollars (58 millions de dollars par an récemment), alors que les indemnisations versées aux victimes n’ont atteint que 162 000 dollars depuis 2015, et aucune réclamation n’a été déposée depuis 2022.
Dans le cadre du transfert à la GSA, l’OPM a négocié une réduction du coût annuel du contrat avec IDX, le ramenant à environ 17 millions de dollars par an, contre 58 millions auparavant. Ian Kelly a contesté l’idée d’un gaspillage, expliquant que la baisse des coûts est due à la diminution du nombre d’abonnés.
IDX met en avant les avantages de la poursuite de la couverture, notamment une assurance contre le vol d’identité de 5 millions de dollars et l’accès à des spécialistes en résolution de fraude. « IDX a un taux de réussite de 100 % pour restaurer les victimes de vol d’identité à leur état d’avant le vol. Ainsi, même s’il est impossible d’empêcher la violation de vos informations, vous pouvez vous protéger contre les nombreux problèmes liés au vol d’identité », a affirmé M. Kelly.
Plusieurs législateurs ont tenté de rendre permanente et financée par le gouvernement la protection de l’identité et la surveillance du crédit. Le sénateur Mark Warner a appelé l’OPM en mai à maintenir le contrat de protection en place. La représentante Eleanor Holmes Norton a présenté un projet de loi en février 2024 pour offrir une couverture gratuite à vie aux personnes touchées par la violation, mais ce projet de loi n’a pas dépassé le stade de la commission.
En janvier, le gouvernement fédéral a réglé un recours collectif concernant la violation de 2015, versant une somme bien inférieure aux fonds initialement mis de côté pour les victimes. Un règlement de 63 millions de dollars avait été finalisé en octobre 2022, mais un document judiciaire de décembre 2024 révèle que seulement 4,7 millions de dollars ont été versés à plus de 5 000 personnes ayant pu prouver un préjudice.
Les experts soulignent que cette violation de données, qui visait des informations très détaillées sur les agents fédéraux et leurs familles, est unique en son genre. James Lee, président du Centre de ressources sur le vol d’identité, explique que cette violation est différente de celles que l’on a connues ces dernières années. « C’était le premier d’une série dans laquelle des États-nations essayaient d’obtenir des informations sur des individus qui les intéressaient à des fins de renseignement et d’espionnage », a-t-il déclaré. « Les informations contenues dans la base de données consultée étaient des informations très spécifiques et très détaillées. On ne voit généralement pas cela dans les violations de données. »
Selon M. Lee, ces données pourraient être utilisées par des États-nations comme la Chine pour dresser un profil complet des agents fédéraux, de leurs familles, de leurs habitudes de voyage et de leurs dépenses, à des fins d’espionnage, de chantage ou autres. Il souligne que la nature statique de ces données les rend particulièrement précieuses. « Ce dont nous parlions avec OPM, c’est que cela représente toujours un risque permanent pour ces individus, et cela représente également un risque permanent pour tout le monde », a-t-il ajouté.
Depuis la faille, l’OPM a investi des millions de dollars pour améliorer sa cybersécurité et a transféré de nombreuses données et systèmes vers le cloud. L’agence affirme disposer de solides programmes de surveillance de la confidentialité, de gestion des risques et de cybersécurité, et être pleinement engagée à protéger les informations personnelles. Une nouvelle politique de cybersécurité et de confidentialité a été mise en place, définissant des objectifs stratégiques distincts et soulignant l’interconnexion entre les contrôles de confidentialité et de cybersécurité.
Les experts préviennent que les criminels et les États-nations exploitent déjà l’intelligence artificielle pour mener des attaques plus ciblées et efficaces. « Les types d’attaques d’identité qui seront faciles à réaliser deviendront beaucoup plus facilement accessibles aux criminels d’identité, et ils seront capables d’accomplir beaucoup plus », a déclaré M. Lee. Il recommande aux agents fédéraux actuels et anciens de prendre en compte la valeur de leurs données, même une décennie après la violation, lorsqu’ils envisagent de renouveler leurs services de protection de l’identité.