Violation de données de Brevard Skin and Cancer Center en 2025

La principale source décrivant l’incident est l’avis de sécurité publié par Brevard. Bien que la page d’origine de l’entreprise ait renvoyé une erreur 404 lors de sa consultation, une copie conservée au format PDF confirme la découverte du 14 octobre, l’accès survenu vers le 28 septembre, les catégories de données concernées, le signalement au FBI et la ligne d’assistance IDX. Le texte indique expressément que certaines données ont été exfiltrées des systèmes.

La deuxième source est la fiche officielle HHS/OCR, qui fait état de 54 570 personnes. Une lettre aux consommateurs datée du 26 décembre et publiée par le procureur général du Massachusetts corrobore de manière indépendante les catégories de données des patients, les dates de l’incident et les 24 mois de services IDX. Les textes officiels ne confirment ni le nom d’un attaquant ni un volume de 1,8 To; ces affirmations provenant de sources secondaires sont donc exclues.

Après avoir découvert l’incident le 14 octobre, Brevard a fait appel à des experts en cybersécurité, pris des mesures pour contenir l’incident et commencé à remettre en état son environnement informatique. L’enquête a établi qu’un tiers non autorisé avait accédé à certains systèmes de données le 28 septembre ou aux alentours de cette date. L’entreprise a indiqué qu’elle poursuivait l’analyse des données afin d’identifier les personnes concernées et les catégories d’informations auxquelles ce tiers avait accédé.

Le texte public ne précise ni la date exacte de fin de l’accès, ni la méthode d’accès initiale, ni l’identité du tiers non autorisé. Il confirme toutefois l’exfiltration de certaines données, ce qui distingue cet incident d’un événement décrit uniquement comme un accès possible. L’avis indique également que l’incident n’a pas perturbé les services et ne compromettrait pas la prise en charge des patients.

Pour les patients actuels ou anciens, les données potentiellement concernées sont le nom complet, la date de naissance, l’adresse du domicile, le numéro de sécurité sociale, le numéro de téléphone, le diagnostic et les informations cliniques, l’adresse e-mail, ainsi que les informations de facturation et de demandes de remboursement. La lettre aux consommateurs du Massachusetts énumère les mêmes catégories de données des patients. Il ne faut pas supposer que toutes ces données étaient présentes pour chaque personne.

Pour les employés actuels ou anciens, le périmètre potentiel comprend le nom complet, la date de naissance, l’adresse du domicile, le SSN, le numéro de téléphone, un problème de santé mentionné dans un formulaire FMLA et l’adresse e-mail. Brevard a par ailleurs indiqué qu’à sa connaissance, les informations ne comprenaient pas de numéros de comptes financiers, d’informations bancaires ou de données de cartes de crédit ou de débit; ces catégories exclues ne sont donc pas présentées ici comme des données exposées.

54 570 est le total officiel actuel de personnes publié sur le portail HHS/OCR le 12 décembre 2025. Le chiffre de 53 255 figure sur une page consacrée à l’incident publiée par une source secondaire le 10 décembre, soit deux jours avant l’entrée HHS. Le nombre de personnes concernées ou d’enregistrements publié par la source officielle représente le périmètre déclaré de l’incident. Il ne signifie pas que chaque catégorie de données mentionnée concernait chaque personne.

Les deux chiffres ne sont pas additionnés et ne donnent pas lieu à des fiches de violation distinctes : ils mesurent le périmètre d’un même événement à différents moments. Le total officiel actuel de HHS, soit 54 570 personnes, est retenu.

La combinaison du nom, de la date de naissance, de l’adresse et du SSN peut accroître le risque d’usurpation d’identité, de fraude à l’ouverture de comptes, de fraude fiscale ou de fraude aux prestations sociales. Les renseignements relatifs au diagnostic, aux soins, à la facturation et aux demandes de remboursement peuvent servir à créer de faux messages de santé convaincants. Il est conseillé aux destinataires de surveiller leurs rapports de crédit, ainsi que leurs décomptes de prestations et toute facture médicale inattendue.

Un message qui semble provenir de Brevard ou d’un employé connu de la clinique n’est pas nécessairement légitime, même s’il mentionne un diagnostic réel ou un détail de facturation exact. Utilisez le site web ou le numéro de téléphone connu de l’établissement plutôt qu’un lien figurant dans le message. Ne communiquez ni mot de passe, ni SSN complet, ni code à usage unique, et n’effectuez pas de paiement. Une alerte à la fraude ou un gel gratuit du crédit peut être approprié si vous constatez une activité de crédit que vous ne reconnaissez pas.

Brevard a indiqué avoir contenu l’incident et sécurisé son environnement, travaillé avec les équipes informatiques et de cybersécurité pour examiner les systèmes concernés, évalué l’intégrité des données et renforcé ses mesures de sécurité. L’entreprise a signalé l’incident au FBI et aux autorités de régulation compétentes. Elle a également réexaminé ses politiques et procédures de confidentialité et de sécurité, tout en envisageant des mesures supplémentaires de protection du réseau.

Les personnes concernées se sont vu proposer, par l’intermédiaire d’IDX, 24 mois de surveillance du crédit auprès des trois agences d’évaluation du crédit, le service CyberScan, une assistance au rétablissement de l’identité et d’autres protections. L’avis général indique le 13 février comme date limite d’inscription, tandis que la lettre individuelle du Massachusetts, plus récente, indique le 26 mars 2026; les destinataires doivent donc suivre les indications de leur propre lettre. La ligne 1-833-779-4803 est accessible en semaine de 09:00 à 21:00, heure de l’Est.