Violation de données chez Coastal Carolina Urology (Rivertown) en 2025

La notification officielle adressée aux personnes concernées indique que le tiers non autorisé a accédé aux systèmes entre le 26 août et le 2 septembre 2025. Vers le 24 avril 2026, l’enquête a établi que des informations relatives aux patients avaient pu être consultées et récupérées lors de l’événement. Des notifications aux autorités de contrôle ont suivi en mai 2026.

Les documents publics ne précisent ni la méthode d’accès initiale, ni une vulnérabilité particulière, ni si un rançongiciel a été utilisé, ni l’identité de l’auteur. Cette fiche se limite donc aux catégories « serveur réseau » et « piratage/technologies de l’information » publiées par le HHS, sans y ajouter de groupe malveillant ou de méthode technique non vérifiés.

La notification officielle confirme que l’événement concernait des informations sur les patients et des informations de santé protégées, mais le texte public ne fournit pas de liste détaillée des champs de données applicable à toutes les personnes. Il ne faut pas supposer que les noms, les numéros de sécurité sociale, les données financières ou certains champs de données médicales ont été concernés pour chaque personne. La lettre de notification individuelle est la source la plus précise pour connaître l’étendue de l’incident pour son destinataire.

Les informations de santé peuvent rendre les tentatives d’hameçonnage plus convaincantes lorsqu’un message fait référence à une prestation médicale ou à un détail de facturation. Les destinataires de la notification ne doivent pas communiquer d’informations de santé supplémentaires, de mot de passe, de code à usage unique ou de coordonnées de paiement lors d’un appel ou dans un courriel inattendu. Contactez l’établissement par un canal dont vous avez vérifié l’authenticité indépendamment du message.

La fiche du HHS et le rapport du procureur général de l’Indiana indiquent le même total national de 2 886 personnes concernées. Le rapport de l’Indiana mentionne également deux résidents de cet État, mais ce chiffre est compris dans le total national et ne s’y ajoute pas. Les documents publics ne fournissant pas de décompte par champ de données, ce total ne permet pas d’établir que les mêmes informations ont été concernées pour chaque personne.

L’établissement figure également sous le nom commercial Rivertown Surgery Center dans le registre officiel du CMS. Ce nom désigne le centre de chirurgie ambulatoire de la même entité juridique et ne correspond ni à une violation de données distincte ni à un groupe supplémentaire de personnes concernées. L’incident concernant Coastal Carolina Health Care, dont le nom est similaire, relève d’une autre organisation et d’un autre événement.

La notification indique qu’un accompagnement pour la surveillance de l’identité a été proposé par l’intermédiaire de Kroll aux personnes éligibles. Les destinataires doivent se référer à leur lettre pour confirmer la période d’inscription, le code d’activation et les champs de données indiqués pour leur cas. Seuls le site web et les coordonnées vérifiés figurant dans la notification doivent être utilisés lors de l’inscription.

Il est possible de consulter les portails patients, les décomptes de prestations de l’assurance santé et les factures médicales afin de repérer une prestation ou un professionnel de santé inconnu, ou une modification des coordonnées. Si une lettre individuelle mentionne expressément un numéro de sécurité sociale ou des informations financières, son destinataire peut également consulter ses rapports de crédit et envisager une alerte à la fraude gratuite ou un gel du crédit. Un champ de données qui n’est pas mentionné dans le résumé public ne doit pas être considéré comme concerné.