Violation de données de Cooper Health System en 2024

La fiche du HHS OCR associe à un même événement The Cooper Health System, un prestataire de soins de santé du New Jersey, un total de 57 412 personnes, une déclaration datée du 23 mai 2025 et un serveur réseau. Aucune autre fiche active du catalogue ne correspondait à la fois au nom de l’organisation, à sa marque actuelle Cooper University Health Care, au domaine, à la date et au nombre de personnes touchées.

Un rapport indépendant sur la sécurité dans le secteur de la santé décrit la déclaration de Cooper auprès du procureur général du Maine. Il corrobore la date de découverte du 14 mai 2024, l’accès non autorisé aux systèmes, l’achèvement de l’examen des fichiers vers le 26 mars 2025, les catégories de données divulguées et le nombre de 57 412 personnes concernées.

Cooper indique avoir détecté une activité inhabituelle sur son réseau le 14 mai 2024, sans aucune perturbation de l’accès aux systèmes. Des spécialistes externes en cybersécurité ont été sollicités pour déterminer la nature et l’étendue de cette activité.

L’enquête a établi qu’un tiers non autorisé avait accédé à certains systèmes et pourrait avoir exfiltré des données sensibles. Les sources publiques ne précisent ni le début de l’accès, ni la vulnérabilité technique, ni la méthode d’accès initial, ni l’auteur. Le 14 mai est donc retenu comme date de découverte, et non comme date confirmée du début de la période d’accès.

L’examen des fichiers s’est achevé le 26 mars 2025 ou aux alentours de cette date et a établi que les contenus concernés comprenaient des noms et des numéros de sécurité sociale. Le total officiel du HHS est de 57 412 personnes, mais la répartition de ces catégories de données par personne n’a pas été publiée.

Les adresses e-mail, mots de passe, comptes bancaires, cartes de paiement, permis de conduire, dates de naissance, diagnostics et informations d’assurance ne sont pas ajoutés, car les informations publiques sur l’événement ne confirment pas leur présence. La formulation « pourrait avoir exfiltré » n’est pas non plus interprétée comme une acquisition confirmée des données.

Un nom associé à un numéro de sécurité sociale peut faciliter une usurpation d’identité, des demandes de crédit frauduleuses, une fraude fiscale ou des tentatives d’ouverture de compte au nom d’une autre personne. Ces identifiants ne pouvant pas être simplement modifiés, le risque ne se limite pas à une courte période.

Des interlocuteurs téléphoniques qui connaissent un nom réel ou une partie d’un identifiant peuvent paraître plus crédibles. La possession d’un tel élément ne prouve pas que l’expéditeur représente Cooper, une banque ou un organisme public. Toute demande inattendue doit être vérifiée par un canal indépendant.

Cooper indique avoir travaillé avec des spécialistes externes en cybersécurité et mis en place des mesures supplémentaires pour renforcer la sécurité de ses systèmes. Des notifications ont été envoyées aux personnes touchées, et des services gratuits de surveillance du crédit et de protection contre l’usurpation d’identité ont été proposés aux personnes éligibles.

Les déclarations publiques ne qualifient pas l’événement d’attaque par rançongiciel, n’identifient aucun groupe responsable et n’affirment pas que les informations ont été volées avec certitude. L’événement est donc répertorié comme un accès non autorisé au réseau, tandis que son auteur et sa cause première restent non confirmés.

Les destinataires d’une notification devraient consulter régulièrement leurs rapports de crédit pour repérer d’éventuels comptes qu’ils ne reconnaissent pas et envisager, si nécessaire, un gel gratuit de leur dossier de crédit ou la mise en place d’une alerte à la fraude. Les comptes et transactions suspects doivent être signalés à l’établissement financier concerné, aux agences d’évaluation du crédit et aux autorités.

Ne communiquez pas de numéro de sécurité sociale, de mot de passe ou de code de vérification à usage unique en réponse à un e-mail, un appel ou un message inattendu. Vérifiez les demandes prétendant provenir de Cooper, d’une banque ou d’un organisme public à l’aide des coordonnées figurant sur le site officiel de l’organisation, plutôt qu’au moyen des liens ou des numéros fournis dans le message.