Violation de données chez Cure Dental en 2025

La source principale est l’avis aux patients publié par Cure Dental sur son propre site web. Le cabinet y précise directement la date de découverte, les mesures techniques prises, les champs de données personnelles potentiellement concernés, sa conclusion selon laquelle les informations de santé protégées (PHI) des patients n’ont pas été touchées, ainsi que les mesures de protection de l’identité recommandées aux patients.

La seconde confirmation provient du rapport de violation de données de HHS OCR. Celui-ci identifie Cure Dental comme un prestataire de soins de santé, classe l’événement comme un piratage/incident informatique impliquant un serveur réseau, indique 878 personnes concernées et mentionne une date de dépôt du 23 juin 2026. Claim Depot rapporte indépendamment le même nombre de personnes, la même date de découverte et les mêmes catégories de données, en s’appuyant sur la page officielle et le rapport de HHS.

Après avoir détecté un accès informatique non autorisé, le cabinet a immédiatement verrouillé son réseau, coupé les connexions externes, désactivé les comptes disposant d’un accès au bureau à distance via le web et imposé une réinitialisation des mots de passe dans l’ensemble du cabinet. Sa plateforme de cybersécurité a détecté et efficacement bloqué la propagation des activités malveillantes sur le réseau.

Le texte officiel décrit ce qui semblait être une attaque par rançongiciel, sans identifier d’attaquant ni de groupe. L’intrus a ensuite contacté le cabinet à plusieurs reprises et exigé que le personnel active manuellement des fichiers malveillants laissés sur le système; le personnel n’a pas obtempéré et les tentatives ont cessé. Les chiffres non vérifiés concernant le nombre de personnes, les champs de données non vérifiés et les affirmations non vérifiées sur les auteurs de l’attaque ne sont pas retenus dans le périmètre public de l’incident.

L’enquête a établi que la plateforme de gestion des dossiers des patients, dont l’accès avait été restreint, avait été rapidement remise en service et que les données archivées n’avaient pas été touchées. Le cabinet a néanmoins conclu que certaines informations personnelles liées aux patients avaient pu être consultées pendant l’incident. Les sources ne précisent ni le nombre exact de fichiers, ni le volume téléchargé, ni la durée de l’accès.

La date de l’incident correspond à la première activité technique vérifiable à partir des sources publiques. L’avis officiel indique que des informations ont pu être consultées, sans confirmer qu’elles ont été publiées ou vendues. La date de dépôt auprès de HHS, environ un an plus tard, correspond à une étape de déclaration réglementaire, et non à la date de l’incident.

Les champs potentiellement touchés comprennent le nom, l’adresse, la date de naissance, le numéro de sécurité sociale et le numéro de permis de conduire. Cette combinaison de données expose à des risques importants d’ouverture frauduleuse de comptes, d’usurpation d’identité, de fraude au crédit et d’ingénierie sociale ciblée. Le cabinet a également signalé qu’un patient avait reçu un appel d’une personne se faisant passer pour un professionnel de l’informatique.

Le patient a immédiatement raccroché et informé le cabinet, et Cure Dental n’a signalé aucune autre activité suspecte. La page officielle ne précise pas si tous les champs étaient présents pour chacune des 878 personnes et ne fournit aucun décompte par champ.

Cure Dental a expressément déclaré que l’incident n’avait pas touché les informations de santé protégées des patients, telles que les informations relatives aux traitements et aux paiements. Le cabinet a également indiqué que la plateforme de gestion des dossiers des patients avait été remise en service et que les données archivées n’avaient pas été touchées.

Le fait d’être associé à un cabinet dentaire peut malgré tout avoir des implications pour la vie privée, mais les sources disponibles ne confirment pas l’exposition d’informations de santé au-delà de ce lien.

Les personnes susceptibles d’être concernées devraient obtenir des rapports de crédit gratuits auprès des trois principales agences d’évaluation du crédit, examiner les comptes et les demandes de consultation de leur dossier de crédit qu’elles ne reconnaissent pas, et envisager une alerte à la fraude ou un gel gratuit de leur dossier de crédit. Il ne faut jamais communiquer d’informations d’identité à des interlocuteurs qui appellent en prétendant représenter Cure Dental; toute vérification doit être engagée par un moyen de contact indiqué sur le site officiel du cabinet.

Le cabinet a publié le numéro gratuit 888-766-1488 pour les questions relatives à l’incident. Toute preuve d’un compte inconnu, d’une demande de consultation du dossier de crédit ou d’un appel sous une fausse identité doit être conservée et signalée à l’organisme concerné et, le cas échéant, aux forces de l’ordre. Si un message suspect ou un événement suspect sur un compte apparaît, il convient de le vérifier par le moyen de contact officiel actuel de l’organisme, sans utiliser les liens contenus dans le message. Lorsqu’une lettre de notification individuelle est disponible, elle constitue la source principale pour connaître les données concernées propres à la personne et les mesures de protection proposées. Les dates et les catégories de données ne doivent être interprétées que dans la mesure où les sources publiques les étayent; les détails non divulgués ne doivent pas être considérés comme confirmés.