Violation de données de Covenant Health en 2025

La page officielle de Covenant Health intitulée « Avis d'incident de sécurité des données » indique la date à laquelle le tiers non autorisé a pénétré dans son environnement informatique, la date de découverte, la confirmation de l'accès à des données de patients et les champs concernés. L'organisme a indiqué avoir commencé à envoyer des courriers aux personnes identifiées comme concernées le 11 juillet 2025 et qu'il enverrait d'autres notifications à mesure que son examen détaillé des données permettrait d'identifier d'autres patients.

La déclaration actualisée auprès du procureur général du Maine établit le périmètre final élargi à 478 188 personnes. SecurityWeek a, de son côté, fait état de l'avis de l'entreprise et de l'augmentation par rapport aux 7 800 personnes de la déclaration initiale. Les sources concordent sur le fait que des données de patients ont effectivement été consultées; la revendication du groupe Qilin portant sur 850 GB et 1,3 million de fichiers ne correspond pas à un total de personnes confirmé par l'entreprise et n'est pas utilisée comme nombre d'enregistrements.

L'enquête numérique a établi que le tiers non autorisé avait accédé à l'environnement de Covenant Health le 18 mai 2025. L'organisme a reçu une alerte concernant une activité inhabituelle le 26 mai et a commencé à sécuriser et à rétablir ses systèmes tout en recherchant l'origine de l'incident. Le premier avis public et les premiers courriers ont été diffusés le 11 juillet, alors que l'examen des données et l'identification des personnes concernées étaient encore en cours.

L'achèvement de l'examen détaillé des données en décembre a entraîné une hausse importante du nombre de personnes déclaré. La mise à jour du 31 décembre déposée auprès du procureur général du Maine fait état de 478 188 personnes. Cette chronologie montre qu'un premier avis peut ne refléter que le sous-ensemble vérifié à ce moment-là; LeakData utilise le chiffre officiel le plus récent communiqué à l'autorité de contrôle, plutôt que de conserver le chiffre provisoire inférieur comme bilan définitif.

L'entreprise a indiqué que les données variaient selon les patients, mais pouvaient comprendre un nom et un ou plusieurs champs supplémentaires. Les catégories confirmées sont les adresses, les dates de naissance, les numéros de dossier médical et les numéros de sécurité sociale. Ces identifiants peuvent être utilisés à des fins abusives pour vérifier une identité, établir des correspondances entre des comptes de santé ou commettre une fraude financière. L'incident est donc classé avec un niveau de gravité élevé et un niveau de sensibilité critique.

Les catégories de données de santé comprenaient également des informations sur les soins, telles que les diagnostics, les dates et les types de traitement, ainsi que des informations d'assurance maladie.

Covenant Health est basé à Andover, dans le Massachusetts, et fournit des services de santé en Nouvelle-Angleterre et en Pennsylvanie. L'avis officiel cite les entités affiliées suivantes : St. Joseph Hospital à Nashua, dans le New Hampshire; St. Joseph Healthcare à Bangor, dans le Maine; et St. Mary's Health System à Lewiston, dans le Maine. Cette fiche les traite comme une seule violation de données couverte par la même enquête de l'entreprise.

Le chiffre de 478 188 correspond au total actualisé des personnes concernées communiqué par Covenant Health, et non à une estimation obtenue en additionnant séparément les déclarations déposées auprès des autorités de contrôle pour chaque établissement. Aucune fiche distincte n'est donc créée pour les hôpitaux affiliés, et une personne dont les données figuraient dans plusieurs établissements n'est pas volontairement comptée une nouvelle fois. Il n'est pas présumé que tous les services soient touchés dans chacun des États où l'organisme exerce ses activités; le périmètre reste limité aux personnes ayant reçu une notification.

Covenant Health a proposé des services gratuits de surveillance du crédit et de protection contre l'usurpation d'identité aux personnes dont les numéros de sécurité sociale pouvaient être concernés. Les destinataires de l'avis devraient s'inscrire dans le délai indiqué, surveiller leurs rapports de crédit pour repérer de nouveaux comptes et examiner les demandes de remboursement d'assurance qu'ils ne reconnaissent pas. Si un relevé d'assurance maladie mentionne une prestation dont la personne n'a pas bénéficié, celle-ci devrait contacter rapidement son régime d'assurance maladie et l'organisme de soins.

L'entreprise a indiqué qu'à la date de l'avis, elle n'avait connaissance d'aucune utilisation frauduleuse des données personnelles liée à cet incident. Cela ne supprime pas le risque à long terme, notamment parce que les numéros de sécurité sociale et de dossier médical sont difficiles, voire impossibles, à remplacer. Un gel du dossier de crédit, une alerte à la fraude, une authentification multifacteur forte et la surveillance des comptes fiscaux peuvent être envisagés en fonction de l'exposition documentée de chaque personne.

Le nombre de personnes ou d'enregistrements concernés publié par la source officielle représente l'étendue déclarée de l'incident. Cela ne signifie pas que toutes les catégories de données divulguées concernaient chaque personne. La date de l'incident repose sur la première activité technique vérifiable à partir de sources publiques. La détection le 26 mai, la notification initiale le 11 juillet et l'achèvement de l'examen en décembre constituent des étapes distinctes; les 7 800 personnes de l'ancien avis provisoire ne sont pas ajoutées au total final.

Cette fiche contient uniquement le résumé vérifié de l'événement, le nombre actuel de personnes concernées, les catégories de données, la chronologie et les conseils de protection. Si l'autorité de contrôle ou l'entreprise publie une nouvelle correction, le total et le contenu pourront être réévalués à partir de ce document primaire.