Violation de données de Centers Laboratory en 2025

Dans son propre avis public, Centers a déclaré qu’un acteur non autorisé avait obtenu un accès limité aux données de ses systèmes et avait copié des données. Des spécialistes externes en analyse forensique ont établi que l’accès avait eu lieu du 9 au 14 août. Cette formulation signifie que l’organisation a confirmé l’acquisition et l’exfiltration de données, et non simplement la possibilité que des informations aient été consultées.

HHS OCR classe l’événement comme un incident de piratage/informatique, indique « serveur réseau » comme emplacement des informations et « prestataire de soins » comme type d’entité. HIPAA Journal a comparé la déclaration officielle au registre fédéral et a corroboré la copie de fichiers de patients, les catégories de données et le total de 542 377 personnes. Les sources n’attribuent pas l’attaque à un groupe nommément identifié, qu’il s’agisse d’un groupe spécialisé dans les rançongiciels ou d’un autre groupe malveillant.

La date de l’incident repose sur la première activité technique vérifiable à partir des sources publiques. Le tiers non autorisé est resté dans certains systèmes jusqu’au 14 août; Centers a détecté une activité suspecte le 25 août, a isolé les systèmes touchés et a pris des mesures pour empêcher tout nouvel accès. La date de découverte ne remplace pas la date de début, antérieure.

L’organisation a ensuite fait appel à des spécialistes externes de l’examen des données pour déterminer si les fichiers copiés contenaient des informations sensibles et quelles personnes ils concernaient. Après une validation interne approfondie des résultats, des lettres de notification ont été envoyées par courrier. L’entrée du registre HHS indique le 18 juin 2026 comme date de soumission, et HIPAA Journal a publié le périmètre définitif en juillet.

Les fichiers pouvaient contenir un nom associé à une date de naissance et à un numéro de sécurité sociale. Les numéros de permis de conduire, de pièces d’identité délivrées par un État et de passeport figuraient également parmi les données d’identité potentiellement présentes selon la déclaration. Les nombres de personnes, les champs de données et les affirmations d’acteurs malveillants qui n’ont pas été vérifiés ne sont pas considérés comme faisant partie du périmètre public de l’incident.

Les numéros de sécurité sociale, de pièces d’identité officielles et de passeport sont des identifiants durables. Leur association avec des noms et des dates de naissance peut accroître le risque d’ouverture frauduleuse de comptes, d’usurpation d’identité ou d’hameçonnage ciblé. Les sources ne font état d’aucune utilisation abusive connue, mais la copie confirmée des données signifie qu’un risque peut subsister à l’avenir.

Des informations médicales et d’assurance maladie étaient présentes dans l’ensemble de données copié. L’avis officiel n’énumérait pas séparément des champs plus précis tels que les diagnostics, les résultats d’analyses, les traitements, les numéros de contrat d’assurance ou les identifiants d’assurés.

Les données de laboratoire et d’assurance peuvent révéler la relation d’un patient avec un prestataire de soins ou des éléments sensibles concernant sa santé. Associées à des données d’identité, elles peuvent faciliter une usurpation d’identité médicale, de fausses demandes de remboursement ou des fraudes commises en se faisant passer pour un véritable prestataire de soins. Cela ne signifie pas que les deux catégories étaient présentes pour chaque victime.

Le nombre de personnes touchées ou d’enregistrements publié par la source officielle représente le périmètre déclaré de l’incident. Il ne signifie pas que toutes les catégories de données déclarées concernaient chaque personne. Il s’agit du périmètre des informations de santé protégées que Centers Lab NJ LLC a déclaré à l’autorité fédérale. Ce nombre n’est ni réparti entre les organisations clientes, ni répété pour chaque catégorie de données, ni remplacé par la formulation arrondie « 542K » figurant dans un titre de presse.

L’incident a touché des patients des prestataires de soins clients du laboratoire, mais les sources ne publient aucun sous-total vérifié par client. Créer des incidents distincts pour chaque client ou répartir le nombre sur la base d’hypothèses pourrait entraîner des doubles comptages. Cette fiche LeakData représente l’unique incident du laboratoire, correspondant à la même période d’accès et au même signalement fédéral.

Centers a mis en place des mesures supplémentaires de sécurité des données; HIPAA Journal a rapporté que les personnes concernées s’étaient vu proposer entre 12 et 24 mois de surveillance gratuite du crédit et de protection contre l’usurpation d’identité, selon l’étendue des données concernées dans leur cas. Les destinataires des notifications devraient suivre les instructions d’inscription, examiner leurs rapports de crédit et l’activité de leurs comptes, et envisager un gel de leur dossier de crédit lorsqu’un identifiant sensible était concerné.

Les personnes concernées devraient également examiner leurs décomptes d’assurance maladie et leurs dossiers médicaux afin de repérer des analyses, des services, des prestataires ou des demandes de remboursement qu’elles ne reconnaissent pas. Toute demande inattendue de paiement ou d’informations faite au nom de Centers Laboratory devrait être vérifiée par l’intermédiaire du site officiel ou d’un numéro de téléphone connu.