Violation de données de Bradford Health Services en 2023

La source principale est la page « Avis relatif à un incident de sécurité des données » publiée par Bradford Health Services sur son propre domaine le 30 mai 2025. Le prestataire y confirme la découverte du 8 décembre, l’enquête menée avec des spécialistes externes en cybersécurité, la possibilité que des fichiers aient été consultés et obtenus sans autorisation, l’achèvement de l’examen le 15 mai 2025 et les catégories de données indiquées.

La deuxième source est la déclaration officielle déposée auprès du procureur général du Maine, qui porte le nombre actualisé de personnes concernées à l’échelle nationale à 22 465. Le portail officiel du Bureau des droits civils du HHS contient une entrée antérieure, datée du 6 février 2024, concernant un piratage/incident informatique touchant un serveur réseau et faisant état de 28 543 personnes. Cette chronologie montre une évaluation initiale puis une évaluation ultérieure du périmètre d’un même événement, et non deux violations distinctes.

Bradford Health a repéré une activité inhabituelle sur son réseau le 8 décembre et a ouvert une enquête avec des spécialistes externes en cybersécurité. L’enquête a établi que certains fichiers du réseau avaient pu être consultés et obtenus sans autorisation. Le prestataire a ensuite procédé à un examen approfondi afin d’identifier les données et de les rattacher aux personnes concernées.

L’examen des fichiers s’est achevé le 15 mai 2025, et des notifications écrites ont été envoyées par la poste américaine le 30 mai. Le prestataire a déclaré ne disposer d’aucun élément indiquant que les informations potentiellement concernées avaient fait l’objet d’une utilisation abusive.

Les données d’identité, qui variaient selon les personnes, comprenaient les noms, les numéros de permis de conduire, les dates de naissance, les numéros de passeport et les numéros de sécurité sociale. Des numéros de comptes financiers et de cartes de paiement, accompagnés d’un moyen d’accès au compte, étaient également potentiellement concernés. Cette fiche ne suppose pas que toutes les catégories de données étaient concernées pour chaque destinataire d’une notification.

Un SSN associé à une date de naissance et à des données de pièce d’identité officielle ou de passeport peut accroître le risque d’usurpation d’identité et d’ouverture frauduleuse de nouveaux comptes. Si vos informations de compte financier ou d’accès au compte étaient concernées, vous pouvez vérifier les opérations que vous ne reconnaissez pas ainsi que les changements de bénéficiaire, d’adresse ou de coordonnées, en passant par un canal connu de votre banque. Cette catégorie générale ne prouve pas qu’un mot de passe était concerné.

Bradford Health décrit les informations médicales en donnant notamment comme exemples les détails des diagnostics et des traitements, les noms des médecins et les numéros de dossier médical. Des informations d’assurance maladie étaient également potentiellement concernées. Ces catégories sont sensibles dans un contexte de santé comportementale, mais le prestataire ne divulgue pas publiquement la pathologie précise, le traitement ou le type particulier d’assurance d’une personne.

Un message inattendu contenant le nom réel d’un médecin, un diagnostic ou un détail de traitement peut paraître convaincant. Si vous avez reçu une notification, vous pouvez examiner vos relevés de prestations, vos dossiers médicaux et l’activité de votre portail patient, puis vérifier les services ou les changements que vous ne reconnaissez pas en appelant un numéro officiel du prestataire. N’envoyez pas d’informations de santé sensibles en réponse à un message ou par l’intermédiaire d’un lien non sollicité.

Les 28 543 personnes signalées au HHS le 6 février 2024 correspondent à une notification initiale dans le secteur de la santé, environ deux mois après la découverte. L’examen des fichiers par le prestataire s’est poursuivi jusqu’au 15 mai 2025, et la déclaration ultérieure déposée dans le Maine recense 22 465 personnes à l’échelle nationale. Le nombre de personnes établi au terme de l’examen remplace le chiffre préliminaire; les deux chiffres ne doivent pas être additionnés.

Le nombre de personnes concernées ou d’enregistrements publié par la source officielle correspond au périmètre déclaré de l’incident. Il ne signifie pas que chaque catégorie de données divulguée concernait chaque personne. Un total final inférieur ne remet pas en cause la réalité de l’événement : un examen peut écarter les doublons, les enregistrements hors périmètre ou ceux ne nécessitant pas de notification, tout en identifiant les personnes qui doivent effectivement être informées.

Bradford Health a déclaré avoir mis en place des mesures supplémentaires pour améliorer la sécurité du réseau et réduire le risque d’un événement similaire, signalé l’incident aux forces de l’ordre et ouvert un centre d’appels gratuit au 1-877-670-4122. Sa page indique que des conseillers étaient disponibles en semaine, de 7 h à 19 h, heure du centre des États-Unis, pour répondre aux questions sur l’incident.

Si vous avez reçu une notification, appuyez-vous sur les données mentionnées dans votre propre courrier. Pour un SSN ou une pièce d’identité officielle, envisagez un gel du dossier de crédit, une alerte à la fraude et une surveillance de l’ouverture de nouveaux comptes; pour les données financières, un examen des opérations; et pour les données de santé, une vérification des prestations et des dossiers médicaux. Ne communiquez ni mot de passe, ni SSN complet, ni code à usage unique, et n’effectuez aucun paiement en réponse à un message inattendu utilisant le nom de Bradford.