Violation de données chez Excellent Home Care Services en 2025

La principale source décrivant l’incident est le communiqué publié au nom d’Excellent Home Care Services le 18 décembre 2025. Il décrit la découverte du 25 novembre, le compte du membre du personnel concerné, le périmètre des fichiers potentiellement touchés, les lettres du 17 décembre et la ligne téléphonique dédiée à l’incident, au 833-918-6974. L’entrée HHS/OCR datée du 17 décembre confirme le total officiel de 16 278 personnes et le lien entre l’événement et la messagerie électronique.

Une troisième source est la page de source publique sur la fuite de données consacrée à l’incident, qui rassemble l’annonce et la fiche HHS. Elle conserve une copie du communiqué de l’entreprise, fournit des liens vers les documents réglementaires et rapporte le même total. Cette fiche de source publique sur la fuite de données n’ajoute aucun nom d’attaquant, aucune qualification d’attaque par rançongiciel, aucune allégation de vente de données ni aucune exfiltration confirmée qui ne figureraient pas dans le texte principal. Les faits vérifiés restent donc distincts des spéculations.

L’entreprise a déclaré avoir découvert le 25 novembre qu’un tiers non autorisé avait accédé pendant une courte période au compte de messagerie d’un membre du personnel. Elle a immédiatement sécurisé le compte et lancé une enquête avec un soutien externe. L’examen a permis d’identifier le type de fichier qui aurait pu être accessible, mais pas de déterminer combien de fichiers avaient réellement été consultés. Par précaution, toutes les personnes dont les informations auraient pu figurer dans ce type de fichier ont donc été informées.

Le communiqué public ne précise ni le début ni la fin exacts de l’accès, ni la méthode d’accès initiale, ni l’identité du titulaire du compte, ni les messages et pièces jointes consultés. La formule « courte période » est également celle de l’entreprise; aucune durée non étayée n’en est déduite.

Selon l’entreprise, les données potentiellement concernées sont les noms complets, les adresses, les numéros de téléphone, les dates de naissance, le genre, les numéros de sécurité sociale et les numéros Medicare ou Medicaid. Certaines informations médicales liées au plan de soins d’une personne pourraient également avoir figuré dans ce type de fichier, notamment les diagnostics, les médicaments et la documentation du plan de soins. Le communiqué précise expressément que tous les éléments de données n’étaient pas présents pour chaque personne.

Le fait qu’un compte de messagerie ait été touché ne signifie pas que chaque donnée énumérée a nécessairement été consultée ou copiée. Les adresses électroniques ne sont pas non plus ajoutées aux catégories de données des victimes : le seul fait que l’événement se soit produit dans un compte de messagerie ne permet pas d’établir que les adresses électroniques des destinataires figuraient dans le fichier concerné.

16 278 est le nombre de personnes touchées publié pour Excellent Home Care Services, LLC sur le portail HHS/OCR des violations de données dans le secteur de la santé. Le communiqué de l’entreprise indique que l’incident ne pouvait avoir touché que des personnes résidant dans les comtés du Bronx, de Kings, de Nassau, de New York et de Queens. Ces comtés constituent le périmètre géographique d’une seule notification, et non des incidents distincts; leurs populations ne doivent pas être ajoutées une nouvelle fois.

Ce chiffre ne correspond pas au nombre de courriels, de pièces jointes, de lignes de données ou de comptes auxquels on a accédé, et ne représente pas une utilisation abusive confirmée.

L’association du nom, de la date de naissance et du numéro de sécurité sociale peut accroître le risque d’usurpation d’identité, d’ouverture frauduleuse de comptes ou de fraude fiscale. Un numéro Medicare ou Medicaid associé à des détails du plan de soins pourrait faciliter des prestations médicales frauduleuses, des demandes frauduleuses de remboursement auprès d’assureurs ou un hameçonnage ciblé. Si vous avez reçu une notification, vérifiez régulièrement vos rapports de crédit, vos relevés détaillant les prestations prises en charge et toute facture de soins inattendue.

Un message inattendu peut sembler provenir de l’entreprise ou d’un professionnel de santé, et même mentionner un diagnostic, un médicament ou un détail de vos soins, sans pour autant être légitime. Utilisez un canal de contact connu de l’organisme plutôt qu’un lien ou un numéro figurant dans le message, et ne communiquez pas de mot de passe, de numéro de sécurité sociale (SSN) complet, de numéro Medicare ou Medicaid, ni de code à usage unique. Si vous constatez une activité de crédit que vous ne reconnaissez pas, envisagez une alerte à la fraude ou un gel de votre dossier de crédit.

Excellent Home Care Services a déclaré avoir sécurisé le compte, réinitialisé les identifiants de connexion, restreint les accès, puis examiné et mis à jour ses paramètres de sécurité Microsoft 365. Les mesures supplémentaires comprenaient le renforcement des contrôles d’accès, des restrictions géographiques, l’amélioration des outils de surveillance, un examen complet des pratiques de sécurité de la messagerie et des données, la mise à jour des politiques et procédures, ainsi qu’une formation accrue du personnel à la protection de la vie privée et à la cybersécurité.

L’entreprise a proposé gratuitement des services de surveillance de l’identité à toutes les personnes potentiellement touchées. Si vous avez reçu une lettre, consultez-la pour connaître les modalités d’inscription. Pour toute question, vous pouvez appeler le 1-833-918-6974 de 08:00 à 17:30, heure de l’Est, du lundi au vendredi. Pour évaluer quelles données vous concernant ont réellement pu être touchées, les catégories indiquées dans votre lettre individuelle sont plus utiles que l’avis public général.