Violation de données chez Cary Pediatric Center en 2025

La source principale est le document PDF intitulé « Avis d’incident de sécurité des données », disponible sur le site web de l’organisation. Il décrit la découverte du 19 septembre, les mesures prises pour contenir l’incident sur le réseau, l’analyse forensique réalisée par des spécialistes, le périmètre limité aux appels enregistrés, l’absence d’impact sur les dossiers médicaux électroniques, les champs de données potentiellement concernés, les 12 mois de services de protection et la ligne d’assistance au 855-522-4713.

La deuxième source est l’entrée officielle du registre HHS/OCR datée du 17 novembre, qui fait état de 25 784 personnes. La page d’accueil actuelle de l’organisation confirme qu’il s’agit de la même entité et du même domaine, et renvoie directement au PDF officiel sur l’incident sous l’intitulé « Avis d’incident concernant les données ». Ces deux documents de première main permettent de recouper l’événement, le nombre total de personnes concernées et l’identité de l’organisation.

Cary Pediatric a détecté aux alentours du 19 septembre qu’il avait été visé par un incident de sécurité réseau. Lorsqu’un tiers non autorisé a tenté de s’introduire dans l’environnement réseau, l’organisation a sécurisé le réseau et fait appel à une société spécialisée dans l’investigation forensique et la réponse aux incidents afin de déterminer l’étendue d’un éventuel accès non autorisé. Le document public ne précise ni la méthode initiale ni l’identité de l’auteur.

Selon les conclusions de l’enquête, certaines informations personnelles pourraient avoir été compromises. Le document précise que les données sensibles en cause se limitaient aux enregistrements audio des appels entre les patients et le cabinet, et que les dossiers médicaux électroniques n’ont pas été affectés. Cette fiche n’en déduit donc pas que les dossiers généraux des patients ou l’ensemble de la base de données EMR ont été exposés.

L’en-tête du PDF indique « 19 février 2025 », tandis que le texte consacré à l’incident situe sa découverte au 19 septembre 2025. La date de l’en-tête étant antérieure à l’événement, elle ne permet pas d’établir une chronologie cohérente.

La date du 19 septembre 2025 indiquée par l’organisation est retenue pour l’incident et sa découverte, tandis que l’entrée HHS/OCR du 17 novembre 2025 sert de référence pour le nombre officiel de personnes concernées et l’étape du signalement réglementaire. Cette approche s’appuie sur des dates vérifiables sans masquer l’incohérence manifeste du document. Aucune autre date ni l’année 2026 n’est ajoutée sans élément probant.

L’avis officiel mentionne les noms, les dates de naissance et les informations de santé protégées parmi les données potentiellement exposées. Il précise que les types de données variaient selon les personnes et que tous les éléments énumérés n’ont pas été exposés pour chacune d’elles. Les PHI ne sont pas ventilées en catégories plus précises relatives aux diagnostics, aux médicaments, aux actes médicaux, à l’assurance ou aux paiements; cette fiche ne fait donc aucune supposition sur ces détails.

Le support concerné était constitué d’enregistrements d’appels téléphoniques. Les informations qui ont pu être évoquées lors d’un appel ne correspondent pas à l’ensemble des informations conservées dans un dossier patient électronique. Les catégories de données se limitent donc aux noms, aux dates de naissance et aux PHI, conformément aux termes de l’avis officiel, et cette fiche ne présente pas les dossiers médicaux électroniques comme ayant été affectés.

25 784 est le nombre de personnes concernées publié sur le portail HHS/OCR; il ne s’agit pas du nombre d’enregistrements audio, d’appels ou de fichiers. Le nombre de personnes ou d’enregistrements concernés publié par la source officielle correspond au périmètre déclaré de l’incident. Cela ne signifie pas que chaque catégorie de données mentionnée concernait chaque personne.

Le 17 novembre indiqué dans HHS est la date du signalement réglementaire, et non le jour de l’incident. L’organisation ne publie pas séparément le nombre de destinataires des courriers ni le nombre d’appels enregistrés.

Cary Pediatric a déclaré avoir sécurisé le réseau, mené une enquête avec des spécialistes informatiques, réexaminé et renforcé les mesures de protection techniques, et prévu 12 mois de surveillance du crédit et de protection contre l’usurpation d’identité, sans frais, pour toutes les personnes potentiellement concernées. Au moment de la publication de l’avis, l’organisation indiquait n’avoir reçu aucun signalement d’utilisation abusive des informations ni d’usurpation d’identité liée à l’incident.

La ligne d’assistance au 855-522-4713 est disponible les jours de semaine, de 08:00 à 20:00, heure de l’Est. Si vous avez reçu un avis, appuyez-vous sur celui qui vous a été adressé pour connaître l’étendue de l’incident vous concernant et les modalités d’inscription. Ne communiquez pas de date de naissance, d’informations de santé, de mot de passe, de coordonnées de paiement ou de code à usage unique lors d’un appel ou dans un message inattendu. Les dossiers médicaux qui vous paraissent suspects doivent être vérifiés directement auprès du cabinet. Si vous recevez un message suspect ou constatez une activité suspecte sur un compte, vérifiez-le en utilisant le canal de contact officiel actuel de l’organisation, sans cliquer sur les liens du message.