Violation de données de Central Ozarks Medical Center en 2025

La source principale est le PDF intitulé « Notification d’incident concernant les données », hébergé sur le propre domaine de COMC. Il confirme la cyberattaque criminelle, l’intervention de spécialistes externes, la date du 10 novembre à laquelle le périmètre a été déterminé, les catégories de données potentiellement concernées, l’offre de surveillance du crédit par IDX, les renforcements de la sécurité et le numéro d’assistance 1-833-816-6531.

La deuxième source est l’entrée du registre fédéral HHS/OCR correspondant à une déclaration du 9 janvier 2026 concernant 11 818 personnes. La page de source publique sur la fuite de données consacrée à l’incident met en relation le PDF officiel de l’organisme, les déclarations auprès des autorités des États et des autorités fédérales, ainsi que ce même total. Ses considérations générales sur les cyberattaques ne servent pas à inventer un nom d’auteur de l’attaque, un logiciel malveillant ou une méthode d’accès précise lorsque ces détails ne figurent pas dans le texte officiel.

Le texte officiel de COMC ne précise ni le premier jour de l’attaque ni la durée de l’accès non autorisé. Il indique que, vers le 10 novembre 2025, l’examen du périmètre a permis de déterminer que des PHI ou des PII concernant certaines personnes avaient pu être touchées.

Le 9 janvier 2026 est la date de déclaration dans le portail HHS/OCR, et non celle du début de l’attaque. Le nom de cette fiche reprend l’année 2025, au cours de laquelle le périmètre a été déterminé, tandis que la déclaration de 2026 auprès de l’autorité de contrôle est mentionnée séparément dans les notes sur les sources. Cette distinction évite de confondre l’incident technique, l’examen des données et la déclaration aux autorités de contrôle.

Selon l’avis officiel de COMC, les données potentiellement concernées variaient d’une personne à l’autre et pouvaient comprendre le nom, la date de naissance, le numéro de sécurité sociale, des informations sur les comptes financiers, les traitements médicaux et l’assurance maladie. Ces catégories proviennent directement du texte de l’organisme; les adresses, les permis de conduire et les autres catégories de données ne sont pas mentionnés, car ils ne figurent pas dans la liste officielle.

Il ne faut pas supposer que toutes les catégories de données étaient concernées pour chaque personne, ni que les informations ont effectivement été utilisées à des fins abusives. L’organisme indique avoir examiné les données qui avaient pu faire l’objet d’un accès ou d’une acquisition non autorisés et avoir envoyé des notifications par précaution. Le courrier individuel reçu par chaque destinataire constitue la référence principale pour déterminer quelles catégories de données le concernent.

11 818 est le nombre officiel de personnes touchées indiqué dans le portail HHS/OCR; il ne s’agit pas d’un nombre de fichiers, de lignes ou de résidents d’un seul État. Le nombre de personnes touchées ou d’enregistrements publié par la source officielle représente le périmètre déclaré de l’incident. Cela ne signifie pas que chaque catégorie de données mentionnée concernait chaque personne. Les sous-ensembles locaux figurant dans les déclarations aux autorités de contrôle des États ne sont pas ajoutés au total national, et aucune deuxième fiche n’est créée pour le même incident.

Lorsqu’une notification individuelle officielle est disponible, les catégories de données et les mesures de protection qui y figurent doivent servir de référence pour évaluer l’exposition de vos données personnelles.

Les numéros de sécurité sociale et les dates de naissance peuvent accroître le risque d’ouverture de comptes frauduleux ou de contournement des contrôles d’identité. Si les informations de vos comptes financiers sont potentiellement concernées, surveillez les opérations, les bénéficiaires et les changements de paiement inhabituels. Tout message inattendu prétendant provenir de COMC, d’une banque ou d’un organisme de crédit doit être vérifié par un canal officiel connu, plutôt qu’en suivant un lien contenu dans le message.

Les informations sur les traitements médicaux et l’assurance maladie peuvent faciliter des escroqueries ciblées dans le domaine de la santé, des facturations frauduleuses ou une usurpation d’identité médicale. Examinez régulièrement vos décomptes de prestations, vos dépenses de santé et les services que vous ne reconnaissez pas. Si des soins que vous n’avez pas reçus y figurent, contactez directement le prestataire de soins et l’assureur, et ne communiquez pas d’informations sensibles supplémentaires en réponse à un message non sollicité.

COMC a déclaré avoir sécurisé ses systèmes avec l’aide de spécialistes externes, mis en œuvre une série de mesures de renforcement de la cybersécurité après l’incident et prévu des améliorations supplémentaires. Les personnes potentiellement touchées se sont vu proposer au moins 12 mois de surveillance gratuite du crédit et de services associés par l’intermédiaire d’IDX. Le numéro 1-833-816-6531 est accessible en semaine, de 9 h à 21 h, heure de l’Est, pour les questions relatives à l’éligibilité et à l’inscription.

Vous pouvez consulter des rapports de crédit gratuits, envisager une alerte à la fraude ou un gel de votre dossier de crédit, et surveiller vos relevés d’assurance et vos comptes financiers. L’inscription à un service de protection de l’identité doit se faire uniquement par l’intermédiaire d’un courrier officiel ou du site web connu de COMC. Les nombres de personnes, les catégories de données et les affirmations concernant les auteurs de l’attaque qui n’ont pas été vérifiés ne sont pas retenus dans le périmètre public de l’incident.