Violation de données chez Endue Software en 2025

L’avis officiel d’Endue relatif à l’incident décrit l’accès non autorisé, la copie de fichiers, les dates, les catégories de données potentiellement concernées et la procédure de notification. L’entreprise confirme que des fichiers provenant de certains systèmes internes ont été copiés lors de l’incident.

La fiche du HHS OCR répertorie la même organisation comme partenaire commercial, indique un total de 118 028 personnes et classe l’événement dans la catégorie des incidents de piratage ou incidents informatiques impliquant un serveur réseau. Ce total ne signifie pas que toutes les catégories de données étaient présentes pour chaque personne.

Endue a pris connaissance d’un possible accès non autorisé à certains systèmes le 17 février 2025 et a pris des mesures pour sécuriser son environnement informatique. L’entreprise a ensuite ouvert une enquête afin de déterminer la nature et l’étendue de cette activité.

L’enquête a établi qu’une personne non autorisée avait brièvement accédé à certains systèmes informatiques le 16 février et copié des fichiers provenant de certains systèmes internes. L’avis de l’entreprise ne révèle ni la méthode d’accès initiale, ni la vulnérabilité technique, ni l’identité de cette personne.

Selon l’avis officiel, les catégories de données variaient d’une personne à l’autre et pouvaient comprendre les noms complets, les adresses, les numéros de sécurité sociale, les dates de naissance ou les numéros de dossier médical.

Il ne faut pas supposer que la liste complète s’applique à chacune des 118 028 personnes. Les adresses e-mail, les mots de passe, les cartes de paiement, les comptes bancaires, les diagnostics et les détails des traitements ne sont pas ajoutés à cette liste, car l’avis ne les mentionne pas séparément.

Un nom, une adresse, une date de naissance et un numéro de sécurité sociale peuvent être combinés pour faciliter une usurpation d’identité, une ouverture frauduleuse de compte, des demandes de crédit ou une fraude fiscale.

Un numéro de dossier médical peut rendre crédibles des messages usurpant l’identité d’un acteur de santé, ou être utilisé dans de fausses demandes de modification d’un dossier ou d’une facture. Le fait de connaître un véritable numéro de dossier ne prouve pas qu’un appelant ou un expéditeur est légitime.

L’entreprise indique avoir sécurisé son environnement informatique, enquêté sur l’étendue de l’incident et examiné les fichiers copiés afin d’identifier les informations sensibles et les personnes concernées. Elle a commencé à envoyer des avis par courrier aux personnes pour lesquelles elle disposait d’une adresse valide.

Dans son avis du 11 avril 2025, Endue a déclaré n’avoir connaissance d’aucune fraude à l’identité, avérée ou tentée, résultant de l’incident. Cette déclaration ne garantit pas qu’aucune utilisation abusive ne puisse survenir ultérieurement.

Si vous avez reçu un avis, examinez régulièrement vos rapports de crédit et l’activité de vos comptes financiers pour repérer des comptes ou des opérations que vous ne reconnaissez pas. Si l’avis indique que votre numéro de dossier médical était concerné, vérifiez également toute modification inattendue de votre dossier ou de votre facturation auprès du prestataire de soins concerné.

Ne communiquez pas de numéro de sécurité sociale, de mot de passe ou de code de vérification en réponse à un appel ou à un message inattendu. Si vous avez été informé que votre numéro de sécurité sociale était concerné, vous pouvez envisager un gel gratuit de votre dossier de crédit ou la mise en place d’une alerte à la fraude.