Violation de données chez Coastal Carolina Health Care en 2025

La principale preuve est une notification envoyée le 24 mars 2026 au procureur général du New Hampshire par les avocats de Coastal Carolina Health Care. Elle indique que CCHC a détecté, le 28 mars 2025, une activité inhabituelle perturbant l’accès à certains systèmes et a ouvert une enquête avec un cabinet indépendant spécialisé en cybersécurité. L’analyse n’a pas seulement établi qu’un accès était possible : elle a révélé que certaines informations avaient été consultées et obtenues sans autorisation.

La ligne du registre HHS OCR classe l’organisation comme prestataire de soins, l’événement comme un piratage/incident informatique et le lieu de stockage des informations comme un serveur réseau. Le total de 110 304 personnes qui y figure précise l’ampleur de l’incident à l’échelle nationale, que le courrier adressé à l’État ne mentionne pas. SecurityWeek a également rendu compte de l’incident de CCHC de manière indépendante, en comparant le total du HHS et le document déposé auprès de l’État.

L’enquête a établi qu’un auteur non identifié avait accédé à des données personnelles et de santé, et les avait obtenues entre le 21 et le 27 mars 2025. La date de l’incident est établie à partir de la première activité technique vérifiable dans les sources publiques. CCHC a remarqué l’activité inhabituelle le 28 mars, a sécurisé son réseau et a lancé une enquête forensique pour déterminer la nature de l’événement.

L’organisation a ensuite fait appel à un service d’analyse externe pour identifier l’ensemble des données touchées et les personnes à informer. CCHC a confirmé l’étendue des répercussions et obtenu suffisamment de coordonnées le 26 février 2026. Les courriers destinés aux personnes concernées ont été envoyés le 23 mars 2026; cet intervalle d’environ un an correspond à l’examen des fichiers et à la vérification des identités, et non à la durée pendant laquelle l’auteur a eu accès au réseau.

La correspondance adressée aux autorités décrit les données touchées comme des données personnelles et des informations de santé protégées. Pour les résidents du New Hampshire, elle indique expressément que des noms ont pu figurer aux côtés de numéros de sécurité sociale. CCHC a également proposé des services spécifiques de protection de l’identité aux personnes dont les numéros de sécurité sociale, de permis de conduire ou de pièces d’identité délivrées par un État ont été touchés.

Les chiffres non vérifiés concernant le nombre de personnes, les catégories de données non confirmées et les affirmations non vérifiées attribuées à des acteurs malveillants ne sont pas inclus dans le périmètre de l’incident tel qu’il est documenté par les sources publiques. Il n’est pas non plus supposé que chaque catégorie de données était présente pour chacune des 110 304 personnes.

Le texte officiel indique que des informations sensibles ont été consultées et obtenues, et non simplement qu’elles auraient pu être vues. Cette constatation apporte des éléments solides issus de l’analyse forensique indiquant que les données ont pu passer sous le contrôle de l’auteur, et distingue l’événement d’une simple panne informatique. Le document déposé ne confirme toutefois ni que des fichiers ont été rendus publics ni que toutes les catégories de données ont été vendues.

Au moment de la notification, CCHC a déclaré ne disposer d’aucun élément indiquant que les données impliquées dans l’incident avaient été utilisées à mauvais escient. L’absence d’utilisation abusive connue n’élimine pas les risques futurs liés aux informations d’identité et de santé obtenues. Les chiffres non vérifiés concernant le nombre de personnes, les catégories de données non confirmées et les affirmations non vérifiées attribuées à des acteurs malveillants ne sont pas inclus dans le périmètre de l’incident tel qu’il est documenté par les sources publiques.

Le nombre de personnes ou d’enregistrements touchés publié par la source officielle représente le périmètre déclaré de l’incident. Il ne signifie pas que chaque catégorie de données divulguée concernait chaque personne. Les 34 résidents du New Hampshire mentionnés dans le courrier adressé à l’autorité de cet État constituent une petite partie de ce total national, et non un incident distinct ou un nombre supplémentaire de victimes. Ce sous-ensemble n’est pas ajouté au total national.

Le nombre total de personnes ne correspond pas au nombre de fichiers ou de champs de données obtenus. Les numéros de sécurité sociale, de permis de conduire et de pièces d’identité délivrées par un État peuvent ne concerner que certains sous-groupes, dont les effectifs n’ont pas été rendus publics.

CCHC a proposé aux personnes dont les numéros de sécurité sociale, de permis de conduire ou de pièces d’identité délivrées par un État ont été touchés 12 mois gratuits de surveillance du crédit, d’assistance à la restauration de l’identité et d’assurance contre l’usurpation d’identité par l’intermédiaire de Cyberscout. Si vous avez reçu un courrier de notification, respectez la date limite et les instructions d’activation qui y figurent. L’organisation a également informé le FBI et mis en place des mesures de sécurité supplémentaires.

Vérifiez régulièrement vos rapports de crédit, vos comptes financiers et les décomptes de prestations de votre assurance santé pour repérer toute transaction, tout service ou toute demande de remboursement que vous ne reconnaissez pas. Si vous recevez un message inattendu vous demandant un paiement ou une vérification au nom de CCHC ou d’un prestataire de soins, vérifiez son authenticité par un canal officiel connu.