Violation de données chez Archer Health en 2025

La source principale est l’« Avis relatif à un incident de confidentialité des données » publié sur le site d’Archer Health. Cet avis mentionne la date du 7 septembre, l’accès non autorisé au serveur d’un prestataire tiers, l’absence d’incidence sur les systèmes d’Archer, les données susceptibles d’être concernées, la surveillance de l’identité, la rupture de la relation avec le prestataire et la ligne d’assistance au 833-779-5787.

La deuxième source est l’entrée officielle du portail HHS/OCR, datée du 6 novembre, qui fait état de 4 285 personnes. La page de source publique sur la fuite de données consacrée à l’incident renvoie au même avis de l’organisme et au total publié par le HHS.

Archer a appris le 7 septembre qu’un prestataire informatique prenant en charge certains des systèmes qu’il utilise avait subi un incident de cybersécurité. Une personne non autorisée a accédé au serveur du prestataire sur lequel étaient stockées des données de patients. Archer a indiqué avoir ouvert une enquête avec des experts en cybersécurité et pris des mesures pour contenir l’incident et protéger les informations des patients après en avoir eu connaissance.

L’organisme ne précise ni la date du premier accès de l’auteur de l’incident, ni sa durée, ni la méthode technique utilisée. La date retenue pour l’incident repose sur la première activité technique vérifiable à partir des sources publiques. Le 6 novembre correspond à la phase de notification, lorsque l’envoi des courriers aux patients a commencé et que le signalement au HHS a été effectué.

L’avis officiel indique explicitement que l’incident ne concernait ni les systèmes ni les réseaux propres à Archer Health. L’environnement touché était le serveur du prestataire informatique tiers. Cette distinction est importante pour comprendre l’origine technique d’une violation de données de santé signalée au nom d’Archer.

L’avis ne dit pas que le réseau d’Archer a été compromis ni que ses systèmes ont été chiffrés. L’incident survenu chez le prestataire a été signalé par Archer parce que des données de patients liées à ses services étaient concernées.

Selon l’enquête d’Archer, le contenu des fichiers variait d’une personne à l’autre, mais pouvait comprendre un nom, une date de naissance, un numéro de sécurité sociale et des informations médicales limitées sur les soins reçus par le patient. Il ne faut pas supposer que chaque donnée était présente pour chaque personne, ni que toutes les informations ont été utilisées à mauvais escient.

Les courriers individuels constituent la source principale pour déterminer quelles données étaient associées à chaque patient. Ne fournissez pas d’informations sensibles supplémentaires en réponse à un message inattendu, même s’il mentionne l’incident.

4 285 correspond au nombre de personnes concernées publié sur le portail HHS/OCR; il ne s’agit pas d’un nombre de fichiers, de lignes de données ou de comptes chez le prestataire. Le nombre de personnes ou d’enregistrements concernés publié par la source officielle correspond à l’étendue déclarée de l’incident. Cela ne signifie pas que toutes les catégories de données mentionnées concernaient chaque personne.

L’avis de l’organisme ne publie pas de total global; le total officiel provient donc de l’entrée publiée par l’autorité fédérale de régulation. Si le même incident chez le prestataire donne lieu à des avis distincts pour d’autres clients, ces chiffres ne sont pas ajoutés au total d’Archer sans éléments probants. L’incident concernant chaque client doit être évalué selon le périmètre déclaré officiellement auprès de l’autorité de régulation pour ce client.

Archer a indiqué avoir mis fin à sa relation avec le prestataire tiers et renforcé les mesures de contrôle de la sécurité et de la surveillance de ses prestataires. Une surveillance gratuite de l’identité a été proposée aux patients dont le numéro de sécurité sociale pouvait être concerné. L’organisme recommande également de vérifier les relevés de soins afin de repérer d’éventuels frais liés à des prestations non reçues.

Le centre d’appels est joignable au numéro gratuit 833-779-5787, en semaine de 06:00 à 18:00, heure du Pacifique. Les destinataires doivent consulter leur propre courrier pour connaître les conditions d’inscription à la surveillance de l’identité, examiner leurs relevés de soins et vérifier les prestations qu’ils ne reconnaissent pas auprès de l’organisme de soins ou de l’assureur. Ne communiquez pas votre numéro de sécurité sociale (SSN) complet, votre mot de passe ou un code à usage unique. Si vous recevez un message suspect ou constatez une activité suspecte sur un compte, vérifiez le message ou l’activité en utilisant les coordonnées officielles actuelles de l’organisme, sans suivre les liens du message. Lorsqu’un courrier de notification individuel est disponible, il constitue la source principale pour connaître les données concernées pour cette personne et les options de protection proposées. Les dates et les catégories de données ne doivent être interprétées que dans les limites de ce que les sources publiques permettent d’établir; les détails non divulgués ne doivent pas être considérés comme confirmés. Un examen régulier des comptes de crédit, des comptes financiers et des comptes liés aux soins de santé peut aider à repérer rapidement une éventuelle utilisation abusive.