Violation de données chez Dameron Hospital en 2023

L’avis officiel de Dameron Hospital destiné aux particuliers décrit les dates de l’événement, l’accès non autorisé, la possible extraction de fichiers, les catégories de données et les modalités de notification. Il indique également que l’hôpital a circonscrit la menace après avoir pris connaissance de l’incident et a ouvert une enquête avec l’aide de spécialistes externes en cybersécurité.

La fiche du HHS OCR répertorie la même organisation comme prestataire de soins de santé, indique un total de 210 706 personnes et classe l’événement dans la catégorie « Piratage/incident informatique » impliquant un serveur réseau. Ce total ne signifie pas que chaque type de donnée était présent pour chaque personne.

Dameron a pris connaissance d’un incident de sécurité le 5 novembre 2023 ou aux alentours de cette date, a circonscrit la menace et a lancé une enquête forensique. L’analyse a révélé qu’un tiers non autorisé avait accédé aux systèmes concernés entre le 4 et le 5 novembre et avait pu extraire certains fichiers.

L’enquête forensique et l’examen exhaustif des documents ont pris beaucoup de temps. Le 21 mars 2025, l’hôpital a établi que les fichiers concernés pouvaient contenir des données personnelles ou des informations de santé protégées. Il a commencé à informer les personnes concernées le 2 avril 2025.

L’avis officiel indique que les données variaient d’une personne à l’autre et pouvaient comprendre les noms complets, les dates de naissance, les numéros de sécurité sociale, les numéros de permis de conduire, les numéros de documents d’identité délivrés par un État ou d’autres documents d’identité officiels, les informations de carte de crédit ou de débit, les informations médicales et les informations d’assurance santé.

Il ne faut pas supposer que toutes les catégories de cette liste concernent chacune des 210 706 personnes. Les adresses e-mail, les mots de passe et les informations de compte bancaire ne sont pas ajoutés à la liste, car l’avis ne confirme pas séparément que ces données étaient concernées.

Un nom, une date de naissance, un numéro de sécurité sociale et des données issues de documents d’identité officiels peuvent être combinés pour faciliter une usurpation d’identité, une ouverture frauduleuse de compte, des demandes de crédit ou une fraude fiscale. Les personnes informées que leurs données de carte étaient concernées sont également exposées à un risque de paiements non autorisés.

Les informations médicales et d’assurance santé peuvent servir à établir de fausses factures de soins, à commettre une fraude à l’assurance ou à envoyer des messages en se faisant passer pour un prestataire de soins. Le fait qu’une personne au téléphone connaisse un détail médical exact ne prouve pas qu’elle représente l’hôpital ou un assureur.

Dameron indique avoir circonscrit la menace, travaillé avec des spécialistes externes en cybersécurité et examiné les fichiers pour identifier les personnes potentiellement touchées. Une surveillance gratuite du crédit a été proposée aux personnes éligibles dont les numéros de sécurité sociale figuraient dans les fichiers.

L’hôpital a déclaré qu’au moment de l’avis, il ne disposait d’aucun élément indiquant que les informations médicales concernées par l’événement avaient été utilisées à des fins non prévues. Cette déclaration reflète les connaissances disponibles au moment de la notification et ne garantit pas qu’un usage abusif ne puisse survenir ultérieurement.

Si vous avez reçu une notification, consultez régulièrement vos rapports de crédit et les opérations sur vos comptes bancaires ou vos cartes pour repérer des comptes ou des transactions que vous ne reconnaissez pas. Envisagez, si cela est approprié, un gel gratuit de votre dossier de crédit ou une alerte de fraude. Signalez rapidement toute transaction par carte que vous ne reconnaissez pas à l’émetteur de la carte.

Si vous constatez des éléments inattendus dans vos dossiers médicaux, vos relevés de prestations ou vos demandes de remboursement auprès de l’assurance, vérifiez-les directement auprès de l’hôpital ou de l’assureur. Ne communiquez pas de numéro de sécurité sociale, de données de carte, de mot de passe ou de code de vérification en réponse à un appel ou à un message inattendu.