Violation de données des comptes CMS Medicare.gov en 2025

Les principaux éléments de preuve sont le communiqué de presse officiel de CMS du 30 juin 2025 et son modèle de lettre de notification. L’organisme indique que les acteurs malveillants ont utilisé des données obtenues auprès d’une source externe inconnue pour créer des comptes Medicare.gov frauduleux, puis ont pu accéder à des informations supplémentaires sur les bénéficiaires. Cet incident de fraude aux comptes est distinct de la violation de données MOVEit de 2023 ayant touché un prestataire de CMS.

La fiche du HHS OCR classe l’organisme comme un régime d’assurance maladie, l’événement comme un piratage/incident informatique et l’emplacement des informations comme un serveur réseau; elle recense 107 154 personnes. Healthcare Finance News a examiné de manière indépendante le communiqué de CMS et a décrit le fonctionnement des comptes frauduleux, les données d’identité utilisées et les mesures prises par l’organisme. Les sources concordent sur la méthode, la chronologie et le périmètre des données concernées.

Le 2 mai 2025, le centre d’appels 1-800-MEDICARE de CMS a commencé à recevoir des demandes de bénéficiaires ayant reçu des lettres de confirmation pour des comptes Medicare.gov qu’ils n’avaient pas créés. L’organisme a rapidement ouvert une enquête et constaté que des acteurs malveillants avaient utilisé des informations valides sur les bénéficiaires pour créer de nouveaux comptes entre 2023 et 2025.

Le communiqué public ne précise pas de date unique marquant le début des attaques et indique que les créations frauduleuses ont eu lieu sur la période 2023-2025. La date de l’incident repose sur la première activité technique vérifiable à partir de sources publiques. Le 30 juin indiqué dans la fiche du HHS correspond à la date de publication du signalement et n’est pas considéré comme le début de l’incident.

Les données utilisées pour créer les comptes étaient les identifiants de bénéficiaire Medicare, les dates de début de couverture Medicare, les noms de famille, les dates de naissance et les codes postaux. Ces données provenaient de sources inconnues extérieures à CMS, mais leur combinaison valide a permis aux acteurs malveillants de créer des identités non autorisées sur Medicare.gov.

Après la création des comptes, les acteurs malveillants ont également pu consulter des informations sur les prestataires de soins, des adresses postales, des dates de prestation, des codes de diagnostic, les services reçus et des informations sur les primes du régime d’assurance. Les décomptes de personnes non vérifiés, les champs de données non vérifiés et les affirmations non vérifiées d’acteurs malveillants ne sont pas inclus dans le périmètre public de l’incident. Il n’est pas non plus supposé que chaque champ concernait l’ensemble des 107 154 personnes.

L’annonce initiale de CMS arrondissait la population touchée à environ 103 000 bénéficiaires. Le nombre de personnes ou d’enregistrements concernés publié par la source officielle représente le périmètre déclaré de l’incident. Cela ne signifie pas que chaque catégorie de données divulguée concernait chaque personne. Le chiffre approximatif antérieur n’est ni ajouté au total ni traité comme un événement distinct.

Ce chiffre ne correspond pas au nombre de comptes frauduleux, de pages consultées, de demandes de remboursement ou de champs de données; il représente les personnes concernées par la notification de la violation de données. Le compte d’un seul bénéficiaire peut contenir plusieurs informations relatives à sa santé, à son régime d’assurance et aux services reçus.

CMS a désactivé tous les comptes créés frauduleusement et bloqué la création de nouveaux comptes Medicare.gov depuis des adresses IP étrangères. L’organisme a poursuivi la surveillance des données de demandes de remboursement afin de détecter toute activité suspecte, remplacé les identifiants de bénéficiaire Medicare des personnes concernées et envoyé par courrier de nouvelles cartes Medicare portant de nouveaux identifiants lorsque cela était nécessaire.

Au moment de la publication du communiqué officiel, CMS n’avait connaissance d’aucun signalement de fraude à l’identité ni d’utilisation abusive directe résultant de cette activité. L’organisme a néanmoins appliqué ces changements par précaution. Si vous recevez une carte de remplacement, cessez d’utiliser l’ancien numéro Medicare et assurez-vous que vos prestataires de soins enregistrent le nouvel identifiant.

Si vous avez reçu une notification, examinez régulièrement vos relevés récapitulatifs Medicare et vos décomptes de prestations d’assurance pour repérer des frais, des médecins, des diagnostics ou des services que vous ne reconnaissez pas. Vous pouvez signaler toute activité suspecte au 1-800-MEDICARE ou au HHS Office of Inspector General. Si vous avez reçu une carte de remplacement, les demandes de remboursement utilisant l’ancien numéro Medicare méritent une attention particulière.

N’ouvrez pas directement les liens contenus dans des messages inattendus de vérification de compte, de renouvellement de carte ou de paiement affichant la marque CMS ou Medicare; pour prendre contact, passez par Medicare.gov ou par le numéro officiel imprimé sur votre carte. Vous pouvez également consulter les rapports de crédit gratuits pour repérer des signes d’utilisation abusive de votre identité.