Violation de données de CPAP Medical en 2024

La source principale est l’avis relatif à l’incident de sécurité des données publié par CPAP Medical Supplies and Services. Il décrit directement l’accès non autorisé au réseau, l’analyse forensique et l’examen des documents, la période d’accès, le début des notifications, la surveillance du crédit proposée aux personnes dont les numéros de sécurité sociale étaient présents, ainsi que les recommandations de protection.

La deuxième source est le portail des violations de données du HHS OCR, qui confirme le nombre de 90 133 personnes touchées et les classifications de l’incident. La troisième est le compte rendu publié le 20 août 2025 par HIPAA Journal, qui décrit indépendamment les dates et les catégories de données à partir de l’avis déposé auprès du procureur général du Maine. Les sources concordent sur l’organisation concernée, l’ampleur de l’incident, l’accès au réseau et les dates de l’examen.

Un acteur non autorisé a pénétré dans l’environnement réseau de CPAP Medical le 13 décembre et a conservé cet accès jusqu’au 21 décembre. Lorsqu’elle a pris connaissance de l’incident, l’organisation a déclaré avoir contenu la menace, sécurisé son environnement interne et lancé une enquête approfondie avec des professionnels externes de la cybersécurité afin de déterminer si des données personnelles ou sensibles avaient été touchées.

À l’issue d’une analyse forensique et d’un examen manuel complexe des documents, CPAP Medical a établi, le 27 juin 2025, que les systèmes concernés contenaient des informations de santé et des informations personnelles permettant d’identifier des personnes. Les notifications ont commencé le 15 août pour les personnes dont les coordonnées étaient disponibles. La date de l’incident correspond à la première activité technique vérifiable à partir des sources publiques.

Selon le compte rendu de HIPAA Journal fondé sur la déclaration aux autorités, les fichiers pouvaient contenir des noms complets, des dates de naissance, des numéros de sécurité sociale, des informations financières et bancaires, des informations médicales et des informations relatives à l’assurance santé. L’avis officiel en ligne confirme également la présence d’informations personnelles permettant d’identifier des personnes et d’informations de santé protégées, et indique que certains fichiers concernés contenaient des numéros de sécurité sociale.

L’organisation n’a pas indiqué que chaque champ de données concernait l’ensemble des 90 133 personnes. Cette fiche n’additionne donc pas les catégories de données pour établir des totaux par sous-groupe et n’inclut pas d’adresses e-mail, de mots de passe ni de données de cartes de paiement dont la présence n’a pas été signalée. Les fichiers ont pu être consultés ou exfiltrés, mais les sources ne permettent pas d’établir qu’ils ont été rendus publics ou vendus à un groupe malveillant identifié.

Le nombre de personnes ou d’enregistrements concernés publié par la source officielle représente l’ampleur déclarée de l’incident. Il ne signifie pas que chaque catégorie de données divulguée concernait chaque personne. Le même total figure dans les comptes rendus fondés sur la déclaration déposée auprès du procureur général du Maine. Il dénombre les personnes visées par les notifications, et non les fichiers, les prescriptions, les commandes d’équipements, les demandes de remboursement auprès des assurances ou les éléments de données individuels.

Basée à Jacksonville, CPAP Medical fournit des produits pour le traitement des troubles du sommeil et des équipements CPAP, notamment aux familles de militaires ainsi qu’aux militaires en service actif ou à la retraite.

CPAP Medical a déclaré avoir contenu la menace, sécurisé ses systèmes, mené une analyse forensique avec des professionnels externes et achevé un examen des documents. L’organisation a également indiqué qu’elle évalue et adapte continuellement ses pratiques et ses contrôles internes afin d’améliorer la sécurité et la confidentialité des informations personnelles.

Au moment de la notification, aucune preuve d’utilisation abusive résultant de l’incident n’avait été trouvée. Malgré cela, les personnes dont les numéros de sécurité sociale étaient concernés ont bénéficié d’un service gratuit de surveillance du crédit. Il a également été conseillé aux destinataires de vérifier leurs comptes financiers, leurs rapports de crédit et les relevés de prestations de leur assurance santé. L’absence d’utilisation abusive connue n’élimine pas les risques futurs.

Si vous avez reçu une notification, activez le service de surveillance proposé dans le délai d’inscription indiqué et vérifiez vos rapports de crédit, vos opérations bancaires et vos relevés d’assurance santé afin de repérer des comptes, des transactions ou des prestations que vous ne reconnaissez pas. Signalez toute entrée suspecte à l’établissement financier, à l’assureur ou au prestataire de soins concerné par un canal officiel que vous connaissiez déjà.

Les liens avec les communautés militaires, associés aux informations de santé, peuvent rendre les tentatives d’hameçonnage ciblé plus convaincantes. N’ouvrez pas directement les liens contenus dans des messages inattendus prétendant provenir de CPAP Medical, d’un programme de prestations pour les militaires, d’une banque ou d’un assureur; prenez d’abord contact via un site officiel ou un numéro vérifié.