Fuite de données chez Gryphon Healthcare 2024
La violation de données subie par Gryphon Healthcare en 2024 a impliqué un accès non autorisé à des fichiers de données personnelles et d’informations de santé protégées conservés par Gryphon, dans le cadre d’un incident touchant un partenaire auquel l’entreprise fournissait des services de facturation médicale.
Types de données exposées
6 sensibles11- Diagnostics
- Informations d’assurance santé
- Informations sur les traitements
- Informations sur les ordonnances
- Informations sur les prestataires
- Numéros de dossier médical
- Noms
- Dates de naissance
- Adresses physiques
- Numéros de sécurité sociale
- Dates des prestations
À propos de cette fuite de données
Un document déposé en Californie indique le 6 juillet 2024 comme date connue de la violation. Gryphon a pris connaissance de l’incident le 13 août, a terminé l’examen de ses fichiers le 3 septembre et a envoyé des notifications par courrier le 11 octobre.
L’organisation a indiqué que des patients actuels et anciens pouvaient avoir été touchés et que les catégories de données variaient selon les personnes. Les informations susceptibles d’être concernées comprenaient les noms, dates de naissance, adresses, numéros de sécurité sociale, dates des soins, diagnostics, informations d’assurance maladie, traitements, prescriptions, prestataires de soins et numéros de dossier médical. Les mentions « informations de santé protégées » et « informations médicales », ce dernier terme étant générique, ne désignent pas des populations supplémentaires par rapport à celles concernées par les catégories de données sous-jacentes.
La notification de l’entreprise ne donne aucun chiffre; des documents juridiques et des informations publiées ultérieurement font état d’environ 393 358 personnes potentiellement touchées. Il s’agit de la population concernée par la notification, et non d’un nombre de comptes, d’adresses e-mail, de lignes d’un jeu de données ou de victimes confirmées. Gryphon a indiqué ne disposer d’aucune preuve d’utilisation abusive à la date de la notification; cela n’exclut pas une utilisation abusive ultérieure.
Il n’existe pas de jeu de données local à l’échelle individuelle ou contenant des informations de santé protégées (PHI). Cet incident ne permet pas d’identifier qui que ce soit comme un patient actuel, une personne ayant reçu un diagnostic, un traitement ou une prescription en particulier, une personne assurée ou un bénéficiaire des services d’un prestataire donné. Les liens avec la sécurité sociale et les soins de santé doivent rester confidentiels, et les personnes ayant directement reçu une notification ne doivent examiner leurs dossiers de crédit ou leurs dossiers médicaux et d’assurance que dans la mesure où les catégories de données indiquées dans leur propre courrier le justifient.
Vérification et méthode éditoriale
LeakData compare le nom de l’incident, sa date, le nombre d’enregistrements concernés et les types de données exposées avec les sources accessibles. Les informations non vérifiées ne sont pas présentées comme des faits, et les fiches sont mises à jour lorsque de nouveaux éléments probants sont disponibles.
Signaler des informations manquantes ou incorrectes
