Violation de données chez Compassion Health Care en 2025

L’avis officiel de CHC rattache à un même événement la détection du 17 mars, les conclusions du 21 mars sur le périmètre des données concernées et les catégories de données mentionnées. La fiche du HHS OCR confirme le nom de Compassion Health Care, prestataire de soins de santé en Caroline du Nord, la date de déclaration du 16 mai 2025 et le nombre total de 23 282 personnes.

Une synthèse indépendante de l’événement corrobore le même incident réseau, la chronologie et les catégories de données. Le début de l’accès non autorisé n’ayant pas été rendu public, le 17 mars est retenu comme la date confirmée de découverte et d’interruption du réseau, sans pour autant affirmer qu’il s’agit de la date du premier accès.

Le 17 mars, CHC a détecté une activité suspecte sur son réseau et une interruption qui en a résulté. L’organisme a lancé une enquête avec une société externe de cybersécurité afin de déterminer la nature et l’étendue d’un éventuel accès non autorisé à ses systèmes.

Le 21 mars, CHC a appris qu’un tiers non autorisé avait pu consulter ou télécharger des données stockées sur certains systèmes. L’avis public ne précise ni le mode d’accès initial, ni la vulnérabilité technique, ni le premier jour d’accès, ni la durée de cet accès. Cette fiche ne tire aucune conclusion sur ces éléments.

Les dossiers des patients pouvaient contenir des noms, des adresses, des numéros de téléphone, des dates de naissance ou des âges, des numéros de sécurité sociale, des numéros de permis de conduire, des informations relatives à l’assurance santé et aux demandes de remboursement, ainsi que des informations cliniques ou diagnostiques liées aux soins reçus.

Les dossiers des salariés ou des fournisseurs pouvaient contenir des noms, des adresses, des dates de naissance, des numéros de sécurité sociale, des informations sur les revenus et les comptes financiers, et éventuellement des numéros de compte bancaire et des codes d’acheminement bancaire. L’avis ne dit pas que chaque catégorie de données concernait chaque personne. Les adresses e-mail, les mots de passe et les cartes de paiement sont exclus de cette fiche, car leur présence parmi les données concernées n’a pas été confirmée.

Les numéros de sécurité sociale et de permis de conduire, ainsi que les informations bancaires, peuvent faciliter une usurpation d’identité, l’ouverture de comptes frauduleux, des virements non autorisés ou une fraude fiscale. Certains de ces identifiants sont difficiles à modifier, ce qui justifie une surveillance à long terme du crédit et des comptes.

Les informations relatives à l’assurance santé, aux demandes de remboursement et aux soins peuvent aider un attaquant à rédiger des messages convaincants faisant référence à une prestation réelle. Le fait qu’un expéditeur connaisse des informations de santé exactes ne prouve pas qu’il représente CHC, un médecin, une banque ou un assureur.

CHC a enquêté sur l’événement avec des spécialistes externes de la cybersécurité et a envoyé des avis écrits aux patients, salariés et fournisseurs potentiellement concernés le 16 mai 2025. L’organisme a également mis en place une ligne d’assistance dédiée aux questions sur l’événement.

Les personnes potentiellement concernées se sont vu proposer gratuitement une surveillance du crédit et des services d’aide à la réparation des conséquences d’une usurpation d’identité. L’avis officiel ne conclut de façon définitive ni à l’existence ni à l’absence d’une utilisation abusive des données. Les mesures de protection visent à réduire les risques éventuels.

Si vous avez reçu un avis, examinez régulièrement vos rapports de crédit, vos comptes bancaires et financiers, vos décomptes d’assurance santé et vos documents fiscaux afin de repérer des comptes, des opérations, des prestations ou des demandes de remboursement que vous ne reconnaissez pas. Signalez rapidement toute anomalie suspecte à l’établissement concerné.

Ne communiquez pas de numéro de sécurité sociale, d’informations bancaires, de données de santé, de mot de passe ou de code de vérification à usage unique en réponse à un e-mail, un message ou un appel inattendu. Si une demande prétend provenir de CHC, vérifiez-la à l’aide des coordonnées figurant sur le site officiel de l’organisme, plutôt qu’en utilisant les liens ou les numéros fournis dans le message.