Fuite de données chez American Addiction Centers (422 424 personnes)

L’entreprise a pris connaissance d’un incident de cybersécurité vers le 26 septembre, a fait appel à des experts externes et a averti les forces de l’ordre. Au 3 octobre, l’enquête avait établi qu’un tiers non autorisé avait récupéré certaines données de ses systèmes entre le 23 et le 26 septembre.

American Addiction Centers n’a révélé ni la méthode d’accès initial ni une éventuelle vulnérabilité exploitée. Le groupe cybercriminel Rhysida, spécialisé dans les rançongiciels, a revendiqué l’attaque, mais l’avis de l’entreprise n’a pas confirmé l’identité de son auteur. L’incident est donc répertorié comme un accès non autorisé et une acquisition de données confirmés, tandis que son attribution reste non vérifiée.

L’avis individuel mentionnait les noms, adresses, numéros de téléphone, dates de naissance, numéros de dossier médical ou autres identifiants, numéros de sécurité sociale et informations d’assurance santé. La combinaison de ces données variait d’une personne à l’autre.

L’avis initial indiquait que les informations relatives aux traitements et les données de carte de paiement n’étaient pas concernées. Un avis ultérieur relatif à un règlement amiable, autorisé par un tribunal, incluait les informations relatives aux traitements dans sa définition des informations privées en cause. Les destinataires doivent se référer aux catégories mentionnées dans leur propre avis.

Un premier signalement au département américain de la Santé et des Services sociaux faisait état de 410 747 patients. Dans sa déclaration ultérieure du 23 décembre 2024 auprès du procureur général du Maine, l’entreprise a indiqué que 422 424 personnes avaient été touchées. Ces chiffres ne correspondent ni à des incidents distincts ni à des totaux à additionner; le catalogue retient le total déclaré le plus récent pour ce même incident.

Les numéros de sécurité sociale, associés aux dates de naissance et aux adresses, peuvent faciliter l’usurpation d’identité ou les demandes frauduleuses d’ouverture de compte. Les informations d’assurance santé et les identifiants médicaux peuvent également servir à déposer des demandes de remboursement frauduleuses, à utiliser abusivement une identité dans un contexte médical et à élaborer des escroqueries personnalisées et crédibles.

Les données de santé liées au traitement des addictions présentent un risque supplémentaire et sérieux pour la vie privée. Il ne faut pas répondre aux messages menaçants ou aux tentatives d’extorsion qui font référence à ces informations. L’assistance liée à l’incident doit être contactée uniquement par les canaux de l’organisation dont l’authenticité a été vérifiée de manière indépendante.

L’organisation a déclaré avoir contenu l’attaque, collaboré avec les forces de l’ordre et des spécialistes externes de la cybersécurité, et mis en place des mesures de protection supplémentaires. Les personnes touchées se sont vu proposer 12 mois de surveillance du crédit auprès d’une seule agence d’évaluation du crédit, un rapport de crédit, un score de crédit et une assistance proactive en matière de fraude.

Les destinataires de l’avis peuvent activer le service gratuit de surveillance en suivant les instructions vérifiées figurant dans leur courrier, examiner leurs rapports de crédit et envisager un gel de leur dossier de crédit ou une alerte à la fraude. Toute activité financière non reconnue doit être signalée directement à l’établissement concerné.

Il convient de vérifier les décomptes d’assurance santé, les portails patients et les factures médicales afin de repérer des prestations qui n’ont pas été reçues. Les liens reçus de manière inattendue et présentés comme provenant d’American Addiction Centers, d’un centre de traitement affilié ou du prestataire de surveillance doivent être évités tant que l’identité de l’expéditeur n’a pas été vérifiée par un canal de contact indépendant.