Fuite de données chez Community Health Center 2024

Dans le cadre de l’incident chez Community Health Center, les données potentiellement à risque comprennent les nom et prénom, la date de naissance, l’adresse postale, le numéro de téléphone, l’adresse e-mail, les diagnostics, les détails des traitements, les résultats d’examens, le numéro de sécurité sociale et les informations d’assurance maladie. Les notifications concernant les patients pédiatriques mentionnent également les informations sur les garants financiers, les notes de suivi clinique, les informations sur les médicaments, les dossiers obtenus auprès d’autres prestataires de soins et d’autres rubriques similaires des dossiers médicaux. D’autres notifications associent aussi à l’incident des données démographiques, le genre, la race, l’origine ethnique, la date et le résultat du test COVID, ainsi que le type de vaccin, la dose et la date d’administration.

Lorsque ces données sont considérées dans leur ensemble, le risque ne se limite pas aux seules coordonnées. Les données de santé peuvent contenir des informations personnelles sur les diagnostics, les traitements, les examens, les médicaments et les antécédents de vaccination d’une personne. Les identifiants durables, comme le numéro de sécurité sociale et la date de naissance, augmentent le risque d’usurpation d’identité et de demandes frauduleuses. Les informations d’assurance maladie peuvent être exploitées pour présenter de fausses demandes de prise en charge de soins ou commettre des fraudes à l’assurance. Pour les patients mineurs et les garants financiers, le risque peut persister plus longtemps, car les données d’identité des enfants peuvent être utilisées de manière frauduleuse pendant des années sans que cela soit détecté.

Cette fiche retient le 14 octobre 2024 comme date de début de l’atteinte aux données et le 2 janvier 2025 comme date de détection de l’incident. L’organisme a indiqué que l’accès de l’attaquant avait été interrompu en quelques heures, qu’aucune donnée n’avait été supprimée ou verrouillée et que les activités quotidiennes n’avaient pas été affectées. La fiche ne fait donc état d’aucune perturbation opérationnelle, telle que le chiffrement de fichiers ou une indisponibilité prolongée des systèmes. Le risque provient des dossiers médicaux et des données d’identité que l’attaquant a pu obtenir.

Les catégories de données pouvant varier d’une personne à l’autre, cette fiche n’affirme pas que toutes les rubriques sont présentes pour chaque personne. Par exemple, les données mentionnées dans une notification destinée à un patient adulte peuvent différer de celles figurant dans une notification concernant un patient mineur ou un garant financier. Pour les personnes ayant bénéficié d’un test de dépistage de la COVID ou d’une vaccination contre la COVID, les données peuvent principalement porter sur la date du test, son résultat, le type de vaccin, la dose et la date d’administration. Les types de données présentés sur cette page correspondent à des catégories vérifiées associées à l’incident; les données exactes concernant chaque personne doivent être évaluées à partir des détails de sa lettre de notification.

Le principal groupe à risque comprend les patients actuels et anciens ayant reçu des soins médicaux, dentaires, de santé comportementale, en milieu scolaire ou d’autres services cliniques similaires par l’intermédiaire de Community Health Center, Inc. Les personnes ayant bénéficié de tests de dépistage de la COVID ou de vaccinations contre la COVID dans une clinique gérée par CHC, les garants financiers fournissant des informations de paiement ou d’assurance pour un patient, les parents, les représentants légaux et certaines catégories de personnel peuvent également être concernés par l’incident. Même si vous ne vous souvenez pas du nom CHC, vous avez pu vous inscrire auprès d’une clinique locale, d’un service de santé en milieu scolaire ou d’un centre de dépistage.

Le risque est particulièrement préoccupant pour les patients mineurs, car les données d’identité des enfants peuvent être utilisées sans que cela soit détecté avant l’âge adulte. Les personnes dont les informations d’assurance maladie sont concernées peuvent être confrontées à de fausses demandes de soins ou à des erreurs de facturation. Celles dont les données comprennent des diagnostics, des résultats d’examens, des détails de traitement ou des informations sur les médicaments ou les vaccins présentent un risque accru d’atteinte à la vie privée. Si votre numéro de sécurité sociale est concerné, restez vigilant face aux fraudes liées au crédit et aux demandes effectuées auprès d’organismes officiels. Si votre adresse e-mail ou votre numéro de téléphone est concerné, méfiez-vous des messages invoquant des services de santé, des résultats d’examens, des justificatifs de vaccination ou la protection de l’identité.

Si vous pensez être concerné par cet incident, vérifiez d’abord les types de données mentionnés dans la notification qui vous a été envoyée. Si votre numéro de sécurité sociale y figure, obtenez un rapport de crédit et envisagez des mesures telles que le gel du crédit ou la mise en place d’alertes à la fraude. Pour les patients mineurs, les parents ou représentants légaux devraient vérifier s’il existe un dossier de crédit au nom de l’enfant et, si nécessaire, se renseigner sur les démarches permettant de geler ce crédit. Si vos informations d’assurance maladie sont concernées, contrôlez régulièrement vos décomptes de prestations, les demandes de prise en charge adressées à votre assurance et tout soin que vous ne reconnaissez pas.

Si vous êtes concerné, examinez les dossiers médicaux, les diagnostics, les traitements, les résultats d’examens et les informations sur les médicaments ou les vaccinations figurant dans votre portail patient et dans les dossiers des services de santé. Si vous constatez un soin que vous ne reconnaissez pas, une information erronée, une facture inattendue ou le nom d’un prestataire inconnu, contactez l’établissement concerné par écrit. Ne cliquez pas sur des liens inattendus proposant une protection gratuite de l’identité ou invoquant une mise à jour du dossier médical, des résultats d’examens ou une correction des informations d’assurance. Pour communiquer avec l’établissement, utilisez les moyens de contact indiqués dans la lettre de notification ou ceux que vous avez vérifiés de manière indépendante.

La protection doit s’inscrire dans la durée lorsqu’un incident touche à la fois des données de santé et d’identité, comme la fuite de données de 2024 chez Community Health Center. Changer les mots de passe peut être utile, mais ne suffit pas, car l’incident concerne également des données d’identité et de santé durables. Consultez régulièrement vos rapports de crédit, soyez vigilant face aux demandes frauduleuses à l’approche de la période de déclaration fiscale, surveillez les demandes de prise en charge adressées à votre assurance maladie et faites corriger rapidement toute information que vous ne reconnaissez pas dans vos dossiers médicaux.

Utilisez des mots de passe uniques et robustes sur les portails patients et activez l’authentification multifacteur chaque fois que cela est possible. Pour les patients pédiatriques, les parents ou représentants légaux devraient poursuivre les vérifications liées à l’identité et au crédit, non seulement durant la période initiale de notification, mais aussi au cours des années suivantes. Les informations de vaccination, d’examen, de diagnostic ou de traitement étant privées et sensibles, méfiez-vous des messages frauduleux personnalisés qui les exploitent. Si vous constatez une transaction suspecte, une erreur dans un dossier médical ou une demande de prise en charge inconnue auprès d’une assurance, conservez la date, le nom de l’établissement, le numéro de transaction et les échanges écrits.

La vérification proposée sur cette page vous permet de consulter les données personnelles et de santé susceptibles d’être associées à la fuite de données de 2024 chez Community Health Center. Une correspondance ne signifie pas que tous les types de données répertoriés ont été exposés pour une même personne. Appuyez-vous sur les rubriques de votre propre lettre de notification et évaluez les différents risques selon votre situation : patient adulte, patient mineur, garant financier ou bénéficiaire de services liés à la COVID.

Une fois que vous avez consulté le statut indiquant si vous êtes concerné, hiérarchisez les démarches selon le type de données. Pour les données d’identité, donnez la priorité aux vérifications liées au crédit et aux demandes effectuées auprès d’organismes officiels; pour les données de santé, aux dossiers médicaux et d’assurance; pour les données des enfants, aux vérifications à long terme visant à protéger leur identité. La fuite de données de 2024 chez Community Health Center est un incident de sécurité de grande ampleur touchant des données de santé. Elle montre pourquoi une détection rapide et la classification des données au sein des établissements de santé sont essentielles à la sécurité des utilisateurs.