Violation de données de Central Kansas Mental Health Center en 2025

La source principale est l’avis d’incident de sécurité des données publié sur le domaine officiel de Central Kansas Mental Health Center. Il décrit directement la date de découverte, l’accès non autorisé au réseau, les fichiers contenant des informations de santé protégées, l’enquête menée par des experts externes en cybersécurité, les mesures techniques et la notification prévue des personnes concernées.

La deuxième source est le portail des violations de données du HHS OCR, qui confirme le statut de prestataire de soins de santé de l’organisme et classe l’événement comme un incident de piratage ou incident informatique impliquant un serveur réseau. La troisième est le document du procureur général du Texas publié le 24 juin 2026. Ce document plus récent précise les catégories de données concernées, l’envoi des notifications par courrier et le total final de 37 610 personnes; un rapport du procureur général de l’Indiana décrit également la même chronologie de découverte.

Le 26 septembre ou aux alentours de cette date, CKMHC a détecté une activité suspecte dans son réseau. L’organisme a activé ses protocoles de réponse aux incidents, mis le réseau hors ligne et fait appel à des experts externes en cybersécurité pour examiner la nature et l’étendue de l’incident. L’enquête a établi qu’une personne non autorisée s’était introduite dans le réseau et avait probablement accédé à des fichiers sensibles.

Lors de la publication du premier avis en ligne en novembre 2025, l’examen des fichiers était encore en cours et l’organisme n’avait pas encore déterminé quelles catégories de données concernaient quelles personnes. CKMHC avait indiqué qu’il enverrait des lettres à mesure que des adresses valides seraient identifiées à l’issue de l’examen. La date de l’incident repose sur la première activité technique vérifiable à partir des sources publiques.

Le document réglementaire texan publié ultérieurement mentionne les noms, les adresses, les numéros de sécurité sociale, les informations relatives aux permis de conduire, les identifiants officiels tels que les numéros de passeport ou de carte d’identité délivrée par un État, les informations sur les comptes financiers ou les cartes de crédit et de débit, les informations médicales, les informations d’assurance maladie et les dates de naissance. Cet ensemble comprend des données personnelles très sensibles et des informations de santé protégées.

Le document n’indique pas que chaque catégorie de données était présente pour chacune des 37 610 personnes. L’avis officiel en ligne confirme un accès probable aux fichiers; il n’indique pas que les données ont été rendues publiques, vendues ou obtenues par un groupe de cybercriminels spécialisé dans les rançongiciels et nommément désigné.

L’entrée du HHS OCR datée du 25 novembre 2025 indique 80 860 personnes, durant la phase initiale où CKMHC déclarait que son examen des fichiers était encore en cours. Le document ultérieur relatif à la notification des consommateurs, publié par le procureur général du Texas le 24 juin 2026, indique 37 610 dans le champ « Nombre total de personnes concernées » et 682 dans le champ « Nombre de Texans concernés ».

Le nombre de personnes ou d’enregistrements concernés publié par la source officielle représente l’étendue déclarée de l’incident. Il ne signifie pas que chaque catégorie de données divulguée concernait chaque personne. Ce choix ne supprime pas l’entrée fédérale et ne crée pas un incident distinct; sourceNotes conserve les deux chiffres réglementaires et leurs dates. Le chiffre retenu correspond aux personnes incluses dans le périmètre final de notification, et non à des fichiers, des traitements, des demandes de remboursement auprès des assurances ou des éléments de données.

L’organisme a indiqué avoir mis le réseau hors ligne, changé les mots de passe des systèmes et des utilisateurs, rétabli les systèmes et informé les forces de l’ordre. Il a également déployé des outils supplémentaires de détection des menaces sur les terminaux du réseau et travaillé avec des spécialistes externes sur l’enquête et l’examen des fichiers.

Aucun élément attestant une utilisation abusive n’avait été découvert lors de la publication du premier avis. Les personnes disposant d’une adresse valide ont reçu des lettres contenant davantage de détails sur l’incident, une offre de services gratuits de surveillance du crédit et de protection de l’identité, ainsi que des mesures de protection à prendre. L’absence d’utilisation abusive connue ne garantit pas qu’une fraude à l’identité ou aux soins de santé ne surviendra pas ultérieurement.

Si vous avez reçu une notification, activez le service de surveillance et de protection de l’identité proposé dans le délai d’inscription indiqué. Examinez vos rapports de crédit, les opérations sur vos comptes bancaires et vos cartes, ainsi que les décomptes de prestations de votre assurance maladie, afin de repérer des comptes ou des services que vous ne reconnaissez pas. Signalez toute opération ou mention suspecte à l’organisme concerné par un canal officiel que vous connaissiez déjà.

La combinaison d’informations médicales, financières et d’identité peut rendre les escroqueries ciblées convaincantes. N’ouvrez pas directement les liens figurant dans des messages inattendus qui prétendent provenir de CKMHC, d’un assureur, d’une banque ou d’un organisme public; prenez contact à partir d’un site officiel ou d’un numéro vérifié.