Violation de données chez Community Care Alliance en 2024

La fiche du HHS OCR associe Community Care Alliance, prestataire de soins de santé du Rhode Island, le total de 114 975 personnes, un signalement datant de mars 2025 et un serveur réseau à un même événement. Le site officiel de l’organisme confirme son implantation à Woonsocket ainsi que ses programmes consacrés à la santé mentale, aux addictions, au logement et aux besoins essentiels.

Une analyse indépendante de l’incident, qui cite l’avis publié par l’organisme, fait état d’un accès entre le 1er et le 5 juillet, de l’achèvement de l’examen des fichiers vers le 8 janvier 2025 et des types d’informations divulgués. Des articles spécialisés dans la sécurité du secteur de la santé rattachent également à ce même événement sa découverte le 6 juillet, les 114 975 personnes concernées, l’attribution à Rhysida et l’exfiltration de données.

Une personne non autorisée a accédé aux systèmes de Community Care Alliance entre le 1er et le 5 juillet 2024. L’organisme a détecté l’attaque le 6 juillet; l’événement a perturbé le réseau et conduit à une enquête menée avec des spécialistes externes.

Des articles ultérieurs ont décrit l’événement comme une attaque par rançongiciel de Rhysida et indiqué que le groupe affirmait avoir exfiltré environ 2,5 téraoctets de données. L’enquête de l’organisme a confirmé que des informations avaient pu être consultées et obtenues sans autorisation, mais les sources publiques ne précisent ni la méthode d’accès initial ni la vulnérabilité technique.

Les informations potentiellement touchées comprenaient les noms, les adresses, les dates de naissance, les numéros de sécurité sociale, les numéros de permis de conduire, les informations médicales et les informations d’assurance maladie. Les données médicales pouvaient comprendre des diagnostics ou des pathologies, des résultats d’analyses, des médicaments, des numéros d’identification de patients, des noms de prestataires de soins et des informations sur les traitements.

Community Care Alliance a indiqué que les informations concernées variaient selon les personnes. Les mots de passe, les adresses e-mail, les cartes de paiement et les comptes bancaires ne sont pas inclus dans cette fiche, car les communications publiques sur l’incident ne confirment pas que ces données étaient concernées.

L’exposition conjointe de données d’identité et d’informations de santé détaillées peut accroître les risques d’usurpation d’identité, d’ouverture de comptes frauduleux, de demandes frauduleuses de remboursement auprès des assureurs et d’escroqueries ciblées. Les numéros de sécurité sociale et de permis de conduire ne peuvent pas être modifiés facilement; une surveillance attentive peut donc être nécessaire sur le long terme.

Une personne qui vous appelle et dispose d’informations exactes sur un diagnostic, un médicament ou le nom d’un prestataire de soins peut paraître plus crédible. La possession de ces informations ne prouve pas que votre interlocuteur représente Community Care Alliance, un assureur ou une clinique. Toute demande inattendue doit être vérifiée par un canal indépendant.

Community Care Alliance a mené une enquête avec des spécialistes externes, mis en place des mesures techniques de protection supplémentaires et informé les personnes concernées. Les personnes éligibles se sont vu proposer 12 mois de services de surveillance du crédit et de protection de l’identité.

L’examen visant à identifier les fichiers et les personnes concernés s’est achevé vers le 8 janvier 2025. Une action en justice ultérieure a abouti à un accord amiable de 1,09 million de dollars, dans le cadre duquel Community Care Alliance a nié toute faute. Cet accord ne constitue pas une reconnaissance de la cause technique de l’événement.

Si vous avez reçu un avis, examinez vos rapports de crédit, vos comptes financiers et vos décomptes d’assurance maladie afin de repérer des comptes, des opérations, des demandes de remboursement ou des prestations que vous ne reconnaissez pas. Toute activité suspecte doit être signalée à l’établissement financier concerné, à l’assureur, aux agences d’évaluation du crédit et, si nécessaire, aux autorités compétentes.

Ne communiquez pas votre numéro de sécurité sociale, vos informations de santé, vos mots de passe ou vos codes de vérification à usage unique en réponse à des e-mails, messages ou appels inattendus. Pour vérifier une demande prétendument envoyée par Community Care Alliance ou un autre organisme, utilisez les coordonnées figurant sur son site officiel plutôt que les liens ou les numéros de téléphone contenus dans le message.