Violation de données Harbin Clinic / NRS de 2024

L’avis officiel destiné aux personnes concernées et publié pour Harbin Clinic décrit le rôle de NRS, la période d’accès, la copie de fichiers, les types de données potentiellement concernés et les mesures prises. Il indique que Harbin faisait appel à NRS pour les comptes présentant des impayés ainsi que pour des dossiers de faillite, de procédure judiciaire et de succession de patients.

Le bureau des droits civiques du département de la Santé et des Services sociaux des États-Unis recense Harbin Clinic dans la catégorie « Piratage/incident informatique », pour un incident impliquant un serveur réseau et 176 149 personnes. La déclaration réglementaire déposée dans le Maine indique que 210 140 personnes ont été informées à l’échelle nationale : ces deux totaux ne sont donc pas considérés comme deux mesures d’un même périmètre.

NRS a détecté une activité suspecte dans ses systèmes informatiques en juillet 2024, après une interruption du réseau. Une enquête technique a établi que l’accès non autorisé avait commencé le 5 juillet et s’était poursuivi jusqu’au 11 juillet, période durant laquelle certains fichiers et dossiers ont été copiés.

NRS a poursuivi l’examen des fichiers et a informé Harbin Clinic en février 2025 que des informations sur des patients pourraient avoir été présentes dans les systèmes touchés. Harbin a reçu une liste des personnes concernées en mars 2025 et a commencé à envoyer les notifications par courrier le 16 mai 2025.

Les données variaient selon les personnes et pourraient avoir compris des noms, des adresses, des numéros de sécurité sociale, des dates de naissance, des informations sur des comptes financiers et des informations médicales. Les documents de NRS pourraient avoir concerné des patients dont les créances avaient été confiées au recouvrement, des garants de comptes et des personnes impliquées dans certaines affaires juridiques.

Il ne faut pas supposer que toutes les catégories de données s’appliquent à chacune des 210 140 personnes. Les adresses e-mail, les mots de passe et les numéros de carte de paiement ne sont pas inclus, car les sources examinées ne confirment pas que ces données étaient concernées.

La déclaration destinée aux consommateurs déposée dans le Maine recense 210 140 personnes touchées par l’incident à l’échelle nationale. Il s’agit du total confirmé le plus large associé aux notifications relatives aux informations personnelles envoyées dans les différents États.

Le chiffre de 176 149 communiqué par le HHS OCR couvre les personnes déclarées au titre des règles fédérales de protection des données de santé. Les deux documents officiels correspondant à des périmètres réglementaires différents, leur écart ne doit pas être interprété comme un nombre de fichiers ou de champs de données individuels.

NRS a indiqué avoir sécurisé ses systèmes, averti les forces de l’ordre, ajouté des mesures de cybersécurité et réexaminé ses politiques existantes. Harbin Clinic a bloqué l’accès de NRS à ses systèmes jusqu’à l’élimination de la menace et a recherché des indicateurs de compromission sur son propre réseau.

L’avis indiquait qu’aucun élément ne permettait d’établir une usurpation d’identité ou une fraude liée à l’incident au moment de sa publication. Les destinataires éligibles se sont vu proposer 24 mois de surveillance de l’identité; ni cette offre ni l’absence d’éléments probants ne garantissent qu’une utilisation abusive ne puisse survenir ultérieurement.

Si vous avez reçu une notification, examinez régulièrement vos comptes bancaires et de crédit pour repérer des opérations ou de nouveaux comptes que vous ne reconnaissez pas, consultez vos rapports de crédit et envisagez, si cela convient à votre situation, un gel gratuit du crédit ou une alerte à la fraude. Toute modification inattendue de vos dossiers médicaux ou de vos factures doit être vérifiée directement auprès du prestataire de soins.

Ne communiquez aucun numéro de sécurité sociale, renseignement sur un compte, mot de passe ou code de vérification en réponse à un appel ou à un message inattendu provenant d’une personne qui prétend représenter Harbin Clinic ou NRS. Vérifiez vous-même les coordonnées à partir de l’avis officiel avant de suivre un lien ou d’envoyer des documents.