Violation de données chez Gateway Community Services en 2025

La fiche du HHS OCR associe à un même incident Gateway Community Services, un prestataire de soins de santé en Floride, le total de 34 498 personnes, la date de signalement du 29 mai 2025 et un serveur réseau. Le site officiel actuel de l’organisation confirme l’identité de Gateway et les services qu’elle propose à Jacksonville.

Des articles indépendants spécialisés dans la cybersécurité du secteur de la santé et un résumé de l’incident figurant dans une déclaration déposée auprès d’un État corroborent l’accès au réseau du 11 avril, l’exfiltration de données, l’achèvement de l’examen du périmètre concerné le 16 mai et les catégories de données mentionnées. Les lettres de notification ne précisent pas quand l’intrusion a été détectée; aucune date exacte de découverte n’est donc ajoutée.

Des personnes non autorisées ont accédé à l’environnement réseau de Gateway le 11 avril. Lorsque l’incident a été détecté, l’organisation a sécurisé son réseau et fait appel à des spécialistes externes en cybersécurité pour déterminer la nature et l’étendue de l’activité non autorisée.

L’enquête a établi que certaines données avaient été exfiltrées du réseau. Les sources publiques ne précisent ni la durée de l’accès, ni la méthode d’accès initiale, ni la faille technique exploitée, ni l’identité de l’auteur de l’attaque; le 11 avril est uniquement consigné comme la date d’accès confirmée.

Selon les personnes, les informations potentiellement concernées comprenaient les prénoms et noms, les adresses, les dates de naissance, les numéros de sécurité sociale ainsi que les numéros de permis de conduire ou de pièces d’identité délivrées par un État. Les informations publiées précisent que les catégories de données mentionnées n’étaient pas les mêmes pour chaque personne.

Les données de santé pourraient avoir compris des détails sur les traitements médicaux et des informations d’assurance maladie. Les adresses e-mail, les mots de passe, les comptes financiers, les cartes de paiement et les informations relatives aux prescriptions ne sont pas ajoutés, car les informations publiques sur l’incident ne confirment pas qu’ils étaient concernés.

Des numéros d’identification associés à des informations de traitement et d’assurance peuvent faciliter l’usurpation d’identité, la fraude dans le domaine de la santé ou l’envoi de messages ciblés convaincants. Les numéros de sécurité sociale et les numéros d’identification délivrés par les autorités ne peuvent pas être changés facilement; une surveillance sur une longue période peut donc être appropriée.

Une personne qui connaît un détail réel concernant un traitement ou une assurance peut s’en servir pour rendre plus convaincante une demande dans laquelle elle prétend représenter Gateway, une clinique, un hôpital ou un assureur. La possession de ces informations ne prouve pas qu’elle est habilitée à agir, et toute demande inattendue doit être vérifiée par un canal indépendant.

Gateway a sécurisé son réseau, fait appel à des spécialistes externes en cybersécurité et mené un examen approfondi pour identifier les personnes et les types d’informations concernés. Ce travail a été achevé le 16 mai 2025, et des notifications écrites ont été envoyées aux personnes concernées.

Selon un résumé indépendant de l’incident, les personnes éligibles se sont vu proposer 12 mois de surveillance du crédit et de protection contre l’usurpation d’identité. Les sources publiques ne présentent pas l’incident comme une attaque par rançongiciel, ne nomment aucun groupe précis et n’indiquent pas que toutes les catégories de données mentionnées concernaient chaque personne.

Si vous avez reçu une notification, examinez régulièrement vos rapports de crédit, vos comptes financiers et vos décomptes d’assurance maladie afin de repérer les comptes, transactions, prestations ou demandes de remboursement que vous ne reconnaissez pas. Signalez toute activité suspecte aux établissements financiers, aux prestataires de soins et aux assureurs concernés, ainsi qu’aux autorités si nécessaire.

Ne communiquez pas de numéro de sécurité sociale, de données de santé, de mot de passe ou de code de vérification à usage unique en réponse à un e-mail, un message ou un appel inattendu. Si une demande prétend provenir de Gateway ou d’un autre organisme de santé, vérifiez-la à l’aide des coordonnées figurant sur le site officiel, plutôt qu’en utilisant les liens ou les numéros contenus dans le message.