Fuite de données d’AdaptHealth en 2026

Les trois principales catégories confirmées par AdaptHealth sont les informations permettant d’identifier une personne, les informations de santé protégées et les fichiers de mots de passe stockés liés à la facturation aux assureurs. Les catégories PII et PHI sont larges; l’entreprise n’a pas encore précisé quels champs de données, tels que les noms, les dates de naissance, les adresses, les diagnostics, les prescriptions ou les numéros d’assurance, étaient présents.

L’entreprise a expressément déclaré qu’elle ne collectait pas de numéros de sécurité sociale dans le système touché et ne stockait pas d’informations relatives aux comptes bancaires ou aux cartes de paiement dans les systèmes concernés. Les numéros de sécurité sociale (SSNs), les cartes de crédit, les comptes bancaires et les données de paiement ne figurent pas parmi les catégories compromises. Bien qu’il ait été confirmé que les fichiers de mots de passe étaient liés à la facturation aux assureurs, AdaptHealth n’a divulgué ni leur format, ni leur état de chiffrement, ni leur degré d’actualité, ni le nombre de comptes qu’ils contenaient.

Selon le document déposé auprès de la SEC, l’attaque a commencé par une opération d’ingénierie sociale qui a compromis une session utilisateur associée à un prestataire tiers. Cette description ne permet pas d’établir qu’une vulnérabilité logicielle a été exploitée ni que l’ensemble du réseau d’AdaptHealth a été compromis. L’auteur de l’accès non autorisé a atteint certaines applications métier hébergées dans le cloud, mais l’entreprise n’a pas précisé si l’accès initial avait été obtenu par courriel, par téléphone, au moyen d’une fausse page de connexion ou par une autre méthode d’ingénierie sociale.

L’environnement auquel l’auteur de l’attaque a accédé comprenait des systèmes internes de gestion des patients, des plateformes de stockage de documents et certains portails externes de dossiers de santé électroniques. Cette liste ne prouve pas que tous les dossiers de chaque plateforme ont été exfiltrés. AdaptHealth a indiqué qu’elle cherchait encore à déterminer l’étendue des ensembles de données touchés.

L’auteur de l’attaque a informé AdaptHealth le 15 juin 2026 que des données avaient été dérobées dans ses systèmes. Le 27 juin, l’entreprise a conclu que l’événement présentait un caractère significatif en raison de la nature et du volume potentiel des données à risque, puis elle a déposé le formulaire 8-K le 2 juillet. La date exacte de l’accès initial et la durée de la session compromise n’ont pas été divulguées.

L’évaluation du caractère significatif de l’incident laisse penser que le volume potentiel pourrait être important, mais le document déposé ne fournit aucun nombre de personnes, de fichiers ou de dossiers. L’organisation n’a pas publié de total vérifiable concernant les personnes ou les dossiers touchés. L’absence de chiffre communiqué ne signifie pas que l’incident n’a eu aucun impact; elle signifie que les sources publiques ne fournissent pas de total fiable. Si des notifications ultérieures aux patients ou des documents des autorités de régulation de la santé publient un chiffre fiable, le nombre pourra être mis à jour; à ce stade, le laisser indéterminé est la manière la plus exacte et la plus prudente de le présenter.

Après avoir détecté l’attaque, AdaptHealth a désactivé le compte utilisateur compromis, réinitialisé les informations d’authentification concernées et mis en place des contrôles d’accès supplémentaires. L’entreprise a déclaré que l’incident avait été circonscrit, que des équipes externes d’investigation numérique apportaient leur concours à l’enquête en cours et que des mesures avaient été prises pour réduire le risque de diffusion des données exfiltrées. Il s’agit des mesures concrètes divulguées par l’entreprise; aucune modification technique non documentée n’est ajoutée à cette fiche.

À la date du dépôt, l’événement n’avait pas eu d’effet significatif sur les activités d’AdaptHealth ni interrompu sa capacité à prendre en charge les patients. L’entreprise a néanmoins indiqué qu’elle ne pouvait pas encore déterminer l’ensemble des conséquences pour les patients, pour sa réputation et pour ses finances, ainsi que celles liées à la réponse à l’incident, aux aspects juridiques et réglementaires et aux notifications. Une assurance contre les risques cyber peut couvrir certaines pertes, mais elle n’élimine pas les conséquences du vol d’informations pour la vie privée et la sécurité des comptes.

Les informations de santé protégées sont sensibles, car elles peuvent révéler qu’une personne reçoit des soins ou renseigner sur sa situation médicale. Les fichiers de mots de passe liés à la facturation aux assureurs pourraient créer un risque d’accès aux comptes ou de fraude si leur contenu est à jour et peut être récupéré. Les champs détaillés n’ayant pas été divulgués, vous ne devez pas supposer que les mêmes informations ont été dérobées à tous les patients. Le risque doit être évalué à partir des données précises mentionnées dans la notification que chaque personne recevra ultérieurement.

Si vous avez reçu une notification en tant que patient, vérifiez de manière indépendante les factures inattendues, les liens de connexion à un portail, les réinitialisations de mot de passe ou les demandes de confirmation d’informations de santé envoyés au nom d’AdaptHealth ou d’un assureur. Changez les mots de passe réutilisés ou similaires sur vos autres comptes et activez l’authentification multifacteur lorsqu’elle est disponible. L’absence de numéros de sécurité sociale (SSNs) et de données de cartes de paiement dans les systèmes touchés n’élimine pas les risques d’hameçonnage ni d’atteinte à la confidentialité des données médicales.

L’organisation n’a pas publié de total vérifiable concernant les personnes ou les dossiers touchés. L’absence de chiffre communiqué ne signifie pas que l’incident n’a eu aucun impact; elle signifie que les sources publiques ne fournissent pas de total fiable. L’ensemble des patients d’AdaptHealth, ses ventes d’équipements et les clientèles de ses partenaires ne définissent pas le périmètre de la fuite. Les catégories de données indiquent les grandes catégories dont l’exfiltration a été confirmée dans le document déposé auprès de la SEC, et non que chaque champ était présent dans chaque dossier.

La conclusion vérifiée est qu’une attaque par ingénierie sociale a compromis une session de prestataire tiers et permis le vol de données PII et PHI ainsi que de fichiers de mots de passe liés à la facturation aux assureurs, depuis certaines applications cloud et certains portails de dossiers de santé électroniques d’AdaptHealth. L’incident a été circonscrit et aucune interruption significative des services n’a été signalée, tandis que le nombre de personnes ou de dossiers touchés et le détail des champs concernés restent à déterminer dans le cadre de l’enquête.