Violation de données chez Excelsior Orthopaedics en 2024

La source principale est la notification modifiée publiée sur le portail officiel du procureur général du Maine. La lettre accessible depuis cette notification détaille la découverte du 23 juin, les premiers résultats de l’enquête technique, les patients et salariés concernés, les vagues de notification et la réponse de l’organisation. La déclaration modifiée déposée ultérieurement porte le nombre total de personnes touchées, précédemment communiqué, à 394 752.

La deuxième source est le portail officiel des violations de données de l’Office for Civil Rights du HHS. L’entrée concernant Excelsior Orthopaedics y fait état de 292 913 personnes touchées par un incident informatique de type piratage d’un serveur réseau, daté du 21 août 2024. Source publique sur la fuite de données recoupe de manière indépendante la déclaration modifiée du Maine et les notifications publiées par les États en septembre 2025, en documentant le total global actuel et les catégories de données exposées.

Excelsior a détecté une activité inhabituelle sur son réseau le 23 juin. Le prestataire a coupé les accès externes au réseau, isolé les équipements suspects, modifié les identifiants des utilisateurs et des administrateurs, et fait appel à une entreprise spécialisée en cybersécurité pour mener une investigation numérique. Les premiers résultats ont montré que des données concernant des patients et des salariés, actuels ou anciens, avaient été compromises.

Excelsior a ensuite travaillé avec des spécialistes externes de l’analyse des données pour rattacher les fichiers compromis aux personnes concernées. Un premier groupe restreint a reçu des notifications en août 2024; après l’achèvement de l’essentiel de l’analyse des données en décembre, une deuxième vague de lettres a été envoyée le 31 décembre. Les documents publics ne précisent ni la méthode d’intrusion initiale, ni la vulnérabilité exploitée, ni l’auteur de l’attaque.

Les principales données concernées, qui variaient selon les personnes, étaient les noms complets, les adresses, les dates de naissance, les numéros de sécurité sociale, les numéros de permis de conduire ou les numéros de cartes d’identification autres que le permis de conduire. Des informations biométriques figuraient également dans l’exemple de notification destiné aux salariés. Cette fiche ne présume pas que toutes ces données étaient concernées pour chaque destinataire; la notification reçue par chaque personne précise le périmètre qui lui est propre.

Un SSN associé à une date de naissance et à un numéro de pièce d’identité officielle peut accroître le risque d’ouverture frauduleuse de nouveaux comptes, d’usurpation d’identité ou de tentatives d’hameçonnage convaincantes. La mention « informations biométriques » apparaît comme une catégorie générale dans l’exemple officiel.

Les données potentiellement concernées pour les patients étaient les numéros de dossier médical, les diagnostics et leurs codes, les lieux de soins, les types d’actes médicaux, les noms des prestataires de soins, les coûts des traitements et les dates des prestations. Des informations d’assurance maladie, des numéros de souscripteur ou d’adhérent et des numéros de compte patient figuraient également dans la liste. Ces données peuvent rendre plus crédibles les escroqueries liées aux soins, à la facturation et aux prestations d’assurance.

Si vous avez reçu une notification, vous pouvez examiner les décomptes de prestations, l’activité de votre portail patient, les prestations que vous ne reconnaissez pas, les tentatives de recouvrement inattendues et les messages des prestataires de soins. Une communication n’est pas fiable simplement parce qu’elle contient un diagnostic réel, une date de prestation exacte ou le nom d’un prestataire. Vérifiez-la par un canal distinct, en utilisant un numéro de téléphone connu du prestataire ou votre portail patient habituel.

Le chiffre de 394 752 correspond au total national le plus récent figurant dans le dossier modifié du procureur général du Maine. Le nombre de 357 000 personnes communiqué auparavant et celui de 292 913 indiqué par le HHS correspondent à des analyses et à des périmètres de notification établis à des moments différents; ils ne doivent pas être additionnés.

La lettre officielle du Maine indiquait en janvier 2025 que l’identification des personnes touchées était toujours en cours, et la déclaration modifiée déposée ultérieurement a augmenté ce nombre. Les sous-totaux de résidents par État ne sont pas ajoutés au chiffre national, afin d’éviter tout double comptage.

Excelsior a contenu l’incident sur son réseau et modifié les identifiants. L’organisation a déclaré avoir déployé de nouveaux outils de sécurité, repensé des systèmes et des processus opérationnels essentiels, et renforcé la sensibilisation à la sécurité ainsi que les alertes. Elle a signalé l’incident au FBI. L’exemple de notification du Maine proposait aux personnes touchées 12 mois de surveillance du crédit et d’assistance au rétablissement de leur situation après une usurpation d’identité, gratuitement, par l’intermédiaire de CyberScout.

Si vous avez reçu une notification, vérifiez la date limite d’inscription dans votre propre lettre et envisagez un gel de votre dossier de crédit, une alerte à la fraude et une surveillance de l’ouverture de nouveaux comptes si un SSN ou un numéro d’identification était concerné. Pour les données de santé, examinez vos décomptes de prestations et vos comptes patients. Ne communiquez ni mot de passe, ni SSN complet, ni code à usage unique, et n’effectuez aucun paiement en réponse à un message inattendu utilisant le nom d’Excelsior. Si vous recevez un message suspect ou constatez une activité suspecte sur un compte, vérifiez le message ou l’activité en question par le canal de contact officiel actuel de l’organisation, sans utiliser les liens contenus dans le message.