Violation de données chez Concord Orthopaedics en 2024

L’avis officiel de l’organisation rattache à un même événement Concord Orthopaedics, le logiciel tiers d’inscription des patients, la date de notification du 21 novembre 2024 et les catégories de données potentiellement concernées. La fiche du HHS OCR confirme également l’organisation, le total de 72 815 personnes et la date de signalement du 25 mars 2025.

Des analyses indépendantes de l’incident rattachent les détails de l’avis officiel et le total de 72 815 personnes figurant dans le registre réglementaire à la même violation de données. Les sources publiques ne précisent ni le début ni la fin exacts de l’accès non autorisé. Le 21 novembre est donc considéré ici comme la date à laquelle l’organisation a été informée, et non comme une date exacte présumée de l’attaque.

Le 21 novembre, Concord Orthopaedics a appris qu’une personne non autorisée avait peut-être accédé à un logiciel tiers servant à inscrire les patients et les patients potentiels, ainsi qu’à enregistrer leur arrivée aux rendez-vous. L’organisation a désactivé l’accès au logiciel, réinitialisé les mots de passe correspondants et fait appel à des spécialistes externes en cybersécurité pour enquêter sur la nature de l’événement.

L’enquête a établi que la personne non autorisée avait accédé au logiciel et avait peut-être consulté ou obtenu les informations qui y étaient stockées concernant l’inscription et l’accueil des patients aux rendez-vous. Elle n’a trouvé aucun élément indiquant que l’environnement interne de Concord Orthopaedics ou son système de dossiers médicaux électroniques, hébergé dans une application distincte, avaient été compromis.

Selon les personnes, les informations ont pu comprendre des noms, des dates de naissance, des numéros de sécurité sociale, des numéros de permis de conduire ou de pièces d’identité délivrées par un État, ainsi que des images de documents d’identité pour certaines personnes. Les données de rendez-vous mentionnées comprenaient le type de rendez-vous, le nom du médecin, ainsi que la date et le lieu du rendez-vous.

Les champs relatifs à l’assurance maladie pouvaient comprendre un numéro de bénéficiaire d’un régime d’assurance maladie, un numéro de régime d’assurance maladie et des informations sur l’éligibilité à la couverture. Les adresses e-mail, les mots de passe, les cartes de paiement et les comptes bancaires ne figurent pas dans cette fiche, car l’avis officiel relatif à l’incident ne confirme pas que ces catégories de données étaient concernées.

Les numéros d’identification, associés aux informations sur les rendez-vous médicaux et l’assurance maladie, peuvent accroître les risques d’usurpation d’identité, de demandes de remboursement frauduleuses auprès des assurances et d’escroqueries ciblées. Les numéros de sécurité sociale et de permis de conduire sont difficiles à changer : leur utilisation abusive peut donc apparaître longtemps après l’événement initial.

Une personne qui connaît le type d’un rendez-vous réel, le nom d’un médecin ou un détail relatif à l’assurance peut rédiger un message convaincant. Le fait de détenir ces informations ne prouve pas qu’un interlocuteur représente Concord Orthopaedics, un médecin ou un assureur. Toute demande inattendue doit être vérifiée par un canal indépendant.

Concord Orthopaedics a désactivé l’accès au logiciel tiers, réinitialisé les mots de passe, mené une enquête avec des spécialistes externes en cybersécurité et informé les services fédéraux chargés de l’application de la loi. L’organisation a également déclaré qu’elle réexaminait ses pratiques et ses politiques concernant les prestataires tiers.

Les personnes concernées ont été informées, et des services de protection contre l’usurpation d’identité ont été proposés aux personnes éligibles. L’avis officiel confirme uniquement l’événement impliquant le logiciel tiers d’inscription. Il ne précise ni la méthode d’accès initial, ni une éventuelle vulnérabilité technique, ni la période exacte de cet accès.

Les personnes ayant reçu une notification doivent examiner régulièrement leurs rapports de crédit, leurs comptes financiers et leurs décomptes d’assurance maladie afin de repérer des comptes, des transactions, des rendez-vous ou des demandes de remboursement qu’elles ne reconnaissent pas. Toute entrée suspecte doit être signalée à l’établissement financier et à l’assureur maladie concernés, ainsi qu’aux autorités compétentes si nécessaire.

Les numéros de sécurité sociale, les informations d’assurance, les mots de passe et les codes de vérification à usage unique ne doivent pas être communiqués en réponse à des e-mails, des messages ou des appels inattendus. Toute demande prétendant provenir de Concord Orthopaedics doit être vérifiée à l’aide des coordonnées figurant sur le site officiel, plutôt qu’en utilisant un lien ou un numéro de téléphone fourni dans le message.