Violation de données de Beverly Hills Oncology Medical Group en 2025

La source principale est le document PDF « Avis de violation de données », publié sur le domaine de l’organisation dédié à ses ressources. Il décrit la période d’accès du 7 au 11 février, l’enquête menée avec des professionnels externes, les conclusions du 13 octobre sur le périmètre de l’incident, les champs de données potentiellement concernés, l’envoi d’avis écrits à partir du 31 octobre environ, la surveillance gratuite du dossier de crédit et la ligne d’assistance au 855-291-2692.

La deuxième source est l’entrée officielle du HHS/OCR datée du 31 octobre, qui indique 57 655 personnes. La page de source publique sur la fuite de données consacrée à l’incident permet un recoupement indépendant en reliant le même PDF, le total fédéral et les déclarations effectuées en Californie et dans d’autres États.

L’organisation a déclaré avoir découvert un accès non autorisé à son réseau entre le 7 et le 11 février environ. Elle a ensuite mené une enquête avec des professionnels externes de la cybersécurité qui analysent régulièrement ce type de situation, afin de déterminer dans quelle mesure les informations présentes sur le réseau avaient pu être compromises. L’avis public ne précise ni l’auteur, ni la vulnérabilité, ni la méthode d’accès initiale.

L’enquête approfondie et l’examen des documents se sont achevés le 13 octobre. Ils ont établi qu’une quantité limitée de données personnelles avait pu être extraite du réseau dans le cadre de cet incident. L’envoi d’avis écrits a commencé vers le 31 octobre aux personnes potentiellement concernées dont la dernière adresse de domicile connue était disponible. Ces dates correspondent aux étapes d’accès au réseau, de détermination du périmètre de l’incident et de notification des personnes concernées.

Selon l’avis officiel, un nom complet a pu figurer avec un ou plusieurs des éléments suivants : un numéro de sécurité sociale, un numéro de permis de conduire ou d’un autre document d’identité officiel, des informations sur des comptes financiers, des informations de carte de crédit ou de débit et des informations relatives à un contrat d’assurance maladie.

Les données relatives aux traitements, aux diagnostics, aux prescriptions et d’autres informations cliniques font également partie du périmètre potentiel. Les types de données varient selon les personnes; il ne faut pas supposer que tous les champs étaient présents pour chaque personne ni que tous les documents ont été extraits. Les nombres de personnes, les champs de données et les affirmations d’acteurs malveillants qui n’ont pas été vérifiés ne sont pas retenus dans le périmètre public de l’incident.

57 655 est le nombre de personnes concernées publié pour cet événement sur le portail HHS/OCR; il ne s’agit pas d’un nombre de documents, de fichiers ou de lignes de données divulguées. Le nombre de personnes ou d’enregistrements concernés publié par la source officielle représente l’ampleur déclarée de l’incident. Cela ne signifie pas que chaque catégorie de données mentionnée concernait toutes les personnes.

Les nombres de résidents locaux figurant dans les registres des procureurs généraux des États sont des sous-ensembles du total national de 57 655 personnes. Ils ne sont pas ajoutés à ce total, car cela reviendrait à compter les mêmes personnes deux fois. La date du signalement au HHS et de l’avis, le 31 octobre, est distincte de la période d’accès de février. Cette distinction préserve à la fois la chronologie réelle et la nature de la mesure représentée par chaque chiffre.

Un nom associé à un SSN ou à un numéro de document d’identité officiel peut accroître le risque d’usurpation d’identité et d’ouverture frauduleuse de comptes. Les informations sur les comptes financiers et les cartes peuvent faciliter la fraude aux paiements, tandis que les données relatives aux traitements, aux diagnostics, aux prescriptions et à l’assurance peuvent permettre une usurpation d’identité médicale et un hameçonnage personnalisé. L’organisation a déclaré qu’au moment de l’avis, elle n’avait connaissance d’aucun signalement de fraude à l’identité ou d’utilisation abusive résultant directement de l’incident.

Si vous avez reçu un avis, examinez les décomptes de prestations de votre assurance maladie, en plus de vos rapports de crédit et de vos opérations financières. Tout traitement, toute prescription, toute demande de remboursement ou tout paiement que vous ne reconnaissez pas doit être vérifié directement auprès du prestataire concerné. Ne communiquez pas votre SSN complet, votre numéro de document d’identité ou de carte, votre mot de passe ni un code à usage unique en réponse à des communications inattendues prétendant provenir de l’organisation.

Beverly Hills Oncology Medical Group a déclaré avoir mené une enquête avec des professionnels externes, évaluer en permanence ses dispositifs de sécurité et de protection de la vie privée, et avoir proposé une surveillance gratuite du dossier de crédit aux personnes concernées. Les avis écrits présentaient l’examen des rapports de crédit, les alertes à la fraude, le gel du dossier de crédit, les protections des comptes financiers et les mesures contre l’usurpation d’identité médicale.

La ligne d’assistance confidentielle et gratuite au 855-291-2692 est disponible du lundi au vendredi, de 09:00 à 21:00, heure de l’Est. Si vous avez reçu un avis, référez-vous à votre propre courrier pour connaître les données qui vous concernent et les modalités d’inscription. Signalez rapidement toute activité financière ou médicale suspecte à l’établissement concerné et envisagez, si cela est pertinent, un gel gratuit de votre dossier de crédit.