Violation de données chez BAYADA Home Health Care en 2026

La principale source concernant l'incident est l'avis de trois pages de BAYADA sur un « événement récent touchant la confidentialité des données », accessible depuis son propre site web. Cet avis décrit directement la période d'accès de l'acteur non autorisé, les systèmes et les données concernés, la nature de l'enquête, les premières catégories d'informations identifiées, les signalements effectués auprès des organismes gouvernementaux et les mesures de protection recommandées par l'organisation.

La seconde source officielle est la fiche BR-0005185 du procureur général du Texas. Elle reprend la dénomination juridique BAYADA Home Health Care, Inc. et l'adresse de Pennsauken. Elle indique que l'incident s'est déroulé du 18 février au 2 mars, que 550 164 personnes ont été touchées à l'échelle nationale, dont 1 270 au Texas, et précise les catégories d'informations finalement retenues ainsi que la notification des personnes concernées par courrier et sur un site web. La concordance exacte de l'organisation, de l'adresse et de la période de l'incident montre que les deux sources décrivent le même événement.

BAYADA indique avoir pris connaissance d'un incident de cybersécurité le 2 mars 2026. L'enquête forensique menée à la suite de cet incident a établi qu'un acteur non autorisé avait accédé à certains systèmes et à certaines données de BAYADA du 18 février au 2 mars. L'avis public ne précise ni le compte, ni l'application, ni la vulnérabilité, ni la méthode d'accès initial utilisés pour pénétrer dans l'environnement informatique.

Il ne faut donc pas présumer que l'incident impliquait un rançongiciel, un hameçonnage, un vol d'identifiants ou l'exploitation d'une faille logicielle particulière. BAYADA confirme un accès non autorisé à des systèmes et à des données, mais n'identifie pas l'acteur, ne précise pas si des données ont été transférées hors de ses systèmes, ne décrit aucune demande de rançon et ne confirme aucune publication en ligne. L'organisation indique qu'à la date de l'avis, aucun élément ne laissait penser qu'une usurpation d'identité ou une fraude liée à l'incident avait eu lieu. Ce constat, limité à cette date, n'exclut pas un risque ultérieur.

Le premier avis public de BAYADA indique que les données concernées pouvaient comprendre des noms, des dates de naissance, des informations sur les diagnostics et les traitements médicaux ou physiques, des informations sur les prestataires de soins, les régimes d'assurance santé et les prescriptions, des informations sur les admissions et les sorties d'hôpital, des informations relatives au handicap et des numéros de sécurité sociale. À ce stade, l'organisation précisait que l'examen des données était toujours en cours et que les catégories concernées pouvaient varier d'une personne à l'autre.

La fiche publiée ultérieurement au Texas confirme les catégories suivantes : noms, numéros de sécurité sociale (SSN), numéros de permis de conduire, informations financières, informations médicales et informations sur l'assurance santé. Considérées ensemble, les deux sources indiquent que l'examen ultérieur a précisé le périmètre des données concernées pour au moins certaines personnes. Il ne faut toutefois pas supposer que chaque catégorie concerne tous les individus. La lettre de notification reçue par une personne constitue la source la plus directe pour connaître les données qui la concernent précisément.

La fiche BR-0005185 du procureur général du Texas donne un total national exact de 550 164 personnes, dont 1 270 au Texas. Le nombre de personnes touchées au Texas est inclus dans le total national et ne doit pas y être ajouté une seconde fois. La fiche du portail est indiquée comme ayant été publiée le 21 juillet 2026. Elle fournit le bilan global du nombre de personnes touchées après l'examen des données que le premier avis de BAYADA décrivait comme toujours en cours.

Le premier avis public de l'entreprise ne donnait pas de total, car l'examen des données par des spécialistes externes n'était pas encore terminé. Le chiffre exact publié ultérieurement dans la fiche du Texas est donc celui à retenir. Cet incident est distinct d'une précédente notification de BAYADA liée à un autre prestataire, Doctor Alliance, concernant un incident survenu du 31 octobre au 17 novembre 2025. Les nombres de personnes touchées par ces deux événements ne doivent pas être additionnés.

BAYADA indique avoir activé ses protocoles de réponse aux incidents, lancé une enquête forensique avec des spécialistes externes et travaillé à confirmer le périmètre de l'incident et à sécuriser ses systèmes. L'organisation a signalé l'événement aux organismes gouvernementaux compétents, notamment aux services fédéraux chargés de l'application de la loi et au département de la Santé et des Services sociaux des États-Unis. Elle a également déclaré réexaminer ses mesures de sécurité, ses politiques et ses procédures existantes afin de renforcer la protection.

Le premier avis indique que les notifications individuelles seraient envoyées une fois l'examen des données terminé. La fiche ultérieure du Texas confirme que les personnes concernées ont été informées sur un site web et par courrier postal aux États-Unis. L'avis public ne mentionne aucune offre précise de surveillance du crédit ou de protection de l'identité. Il fournit un numéro d'assistance, le 1-800-305-3000, joignable tous les jours de 8 h à 19 h, heure de l'Est, ainsi qu'une adresse postale à Pennsauken pour contacter le responsable de la protection de la vie privée de BAYADA.

Si vous avez reçu une notification, appuyez-vous sur votre propre lettre pour connaître les catégories de données qui vous concernent. Examinez les décomptes de prestations de votre assurance santé, vos portails patients, les opérations sur vos comptes bancaires et vos cartes, ainsi que vos rapports de crédit gratuits, afin de repérer une opération ou une demande de prise en charge que vous ne reconnaissez pas. Si votre SSN ou votre permis de conduire est concerné, envisagez un gel gratuit de votre dossier de crédit ou une alerte à la fraude. Si des informations sur un compte financier sont concernées, contactez l'établissement compétent par un canal officiel que vous connaissez.

Vérifiez par un moyen indépendant les messages inattendus qui se réclament de BAYADA, d'un assureur, d'une banque ou d'un organisme gouvernemental. Un message contenant de véritables informations sur vos soins n'est pas nécessairement légitime. Ne communiquez pas de mot de passe, de SSN, de numéro d'adhérent à une assurance ou de code à usage unique. Signalez toute demande suspecte de prise en charge de soins à l'assureur, toute activité financière suspecte à l'établissement concerné et toute suspicion d'utilisation frauduleuse de votre identité via IdentityTheft.gov et, lorsque cela est approprié, auprès des forces de l'ordre.