Violation de données de Denton County MHMR Center en 2024

La principale source de preuve est l’avis relatif à la sécurité des données publié sur le propre domaine du Centre, mis à jour le 30 décembre 2025, ainsi que l’avis initial au format PDF auquel il renvoie. Cet avis indique qu’un tiers non autorisé a accédé à des informations présentes sur le réseau entre le 24 et le 25 décembre 2024. Ce constat établit que des données protégées faisaient partie du périmètre accessible; il ne s’agit pas simplement de la preuve d’une interruption de service ou d’une activité inexpliquée.

L’entrée du registre de HHS OCR classe Denton MHMR Center comme prestataire de soins, l’événement comme piratage/incident informatique et l’emplacement des informations comme serveur réseau; elle fait état de 108 967 personnes concernées. The HIPAA Journal a comparé de manière indépendante l’avis officiel, le registre fédéral et la liste mise à jour des catégories de données. Les trois sources concordent sur l’organisation, la période d’accès et le périmètre de l’incident.

Le Centre a détecté une activité inhabituelle sur son réseau le 24 décembre 2024 ou aux alentours de cette date, a sécurisé son environnement et a ouvert une enquête avec l’aide de spécialistes externes. L’analyse a établi que le tiers non autorisé avait eu accès au réseau pendant une période limitée, du 24 au 25 décembre. La date de l’incident repose sur l’activité technique la plus ancienne qui peut être vérifiée à partir de sources publiques.

Lorsque l’organisation a publié un premier avis de notification de substitution le 21 février 2025, l’examen des fichiers et des personnes concernées était encore en cours. Elle a déterminé le périmètre détaillé des données potentiellement concernées le 10 octobre, a signalé l’événement à HHS OCR le 5 novembre, puis a informé les procureurs généraux des États. L’avis en ligne a été mis à jour le 30 décembre pour mentionner les services de surveillance du crédit et de protection de l’identité.

La liste officielle actuelle comprend les noms, les adresses, les numéros d’identification des patients, les dates de naissance, les diagnostics, les antécédents médicaux, les numéros de dossier médical, les traitements médicaux, les informations de laboratoire, les noms des médecins assurant les soins, les médicaments, les vaccinations, les informations d’assurance santé et les identifiants biométriques. Les nombres de personnes, les catégories de données et les affirmations d’acteurs malveillants qui n’ont pas été vérifiés ne sont pas retenus dans le périmètre public de l’incident.

Le PDF de février, publié avant la fin de l’analyse, mentionnait également les numéros de sécurité sociale et de compte bancaire parmi les données potentiellement concernées. La page mise à jour en décembre présente les résultats détaillés de l’analyse achevée et ne reprend pas ces deux éléments.

Le nombre de personnes ou d’enregistrements concernés publié par la source officielle représente le périmètre déclaré de l’incident. Il ne signifie pas que toutes les catégories de données mentionnées concernaient chaque personne. The HIPAA Journal indique qu’il s’agit de patients actuels et anciens. Ce chiffre comptabilise les personnes comprises dans le périmètre de notification, et non les fichiers, les lignes ou les champs copiés; plusieurs types d’informations peuvent être concernés pour une même personne.

Le texte officiel confirme l’accès à certaines informations, mais n’indique pas que des fichiers ont été extraits, rendus publics ou vendus. Les nombres de personnes, les catégories de données et les affirmations d’acteurs malveillants qui n’ont pas été vérifiés ne sont pas retenus dans le périmètre public de l’incident. Le texte n’attribue pas non plus toutes les catégories de données répertoriées à chacune des 108 967 personnes.

Le Centre a sécurisé son réseau après avoir détecté l’activité inhabituelle et a fait appel à des spécialistes pour enquêter. Il a ensuite travaillé avec des experts externes en cybersécurité pour mettre en place des protections supplémentaires sur le réseau, et a revu et renforcé ses politiques et procédures de protection des données. L’avis initial indique également que les forces de l’ordre ont été informées.

L’avis mis à jour précise que des services gratuits de surveillance du crédit et de protection de l’identité ont été proposés aux personnes potentiellement concernées. Au moment de la notification, le Centre a déclaré ne disposer d’aucun élément indiquant une utilisation abusive des informations en lien avec l’incident. L’absence d’utilisation abusive constatée n’élimine pas le risque à plus long terme que présentent les informations sensibles de santé et les données biométriques.

Les destinataires de la notification peuvent appeler la ligne d’assistance dédiée du Centre pour vérifier leur admissibilité aux services proposés de surveillance du crédit et de protection de l’identité, ainsi que les dates limites d’inscription. Il convient d’examiner régulièrement les rapports de crédit, les relevés financiers et les décomptes de prestations de l’assurance santé pour repérer des comptes, des transactions, des médecins, des prestations de laboratoire ou des demandes de remboursement inconnus.

Si un soin, une ordonnance, une vaccination ou une mention relative à l’assurance que vous ne reconnaissez pas apparaît, contactez le prestataire de soins et l’assureur par leurs canaux officiels habituels. Les données biométriques ne pouvant pas être modifiées comme un mot de passe, les demandes inattendues de vérification d’identité appellent une vigilance particulière.