Fuite de données chez Health Payment Systems en 2025

L’avis de sécurité officiel de HPS présente la chronologie de l’incident, l’environnement touché, les catégories de données potentiellement concernées et la réponse de l’entreprise. Il indique qu’une personne inconnue et non autorisée pourrait avoir consulté ou obtenu certaines informations relatives à des patients.

La fiche du HHS OCR répertorie la même organisation comme partenaire commercial, indique un total de 9 380 personnes et classe l’événement dans la catégorie « Piratage/incident informatique » impliquant la messagerie électronique. Ce chiffre correspond au nombre total de personnes touchées; il ne permet pas d’établir quelles catégories de données étaient présentes pour chacune d’elles.

Vers le 27 juin 2025, HPS a pris connaissance d’activités suspectes liées à certains comptes de messagerie de ses employés et a pris des mesures pour les sécuriser. L’entreprise a ensuite enquêté sur la nature et l’étendue de l’incident avec l’aide de spécialistes externes en cybersécurité.

L’enquête a établi qu’une personne inconnue avait accédé à certains e-mails sur une période allant approximativement du 24 au 27 juin. La date retenue dans le catalogue correspond donc au début approximatif de cette période d’accès; l’avis ne précise ni l’heure exacte, ni la méthode utilisée, ni l’identité de la personne à l’origine de l’accès.

L’avis officiel énumère les noms, les adresses, les dates de naissance, les identifiants, les identifiants d’abonnement et les identifiants individuels des abonnés. Pour certaines personnes, les informations pourraient également avoir compris des numéros de sécurité sociale, des informations médicales et des informations d’assurance maladie.

Les catégories de données variaient selon les personnes. Bien que l’incident ait concerné des comptes de messagerie d’employés, l’avis ne mentionne pas séparément les adresses e-mail ou les mots de passe des comptes des personnes touchées parmi les données exposées. Ces catégories ne sont donc pas ajoutées.

Un nom, une adresse, une date de naissance et un numéro de sécurité sociale peuvent être combinés pour faciliter une usurpation d’identité, l’ouverture frauduleuse d’un compte ou une fraude fiscale ou au crédit. Les numéros d’identification et d’abonné peuvent aussi servir à rendre des messages ciblés crédibles.

Les informations médicales et d’assurance maladie peuvent être détournées pour présenter de fausses demandes de prise en charge de prestations, commettre une fraude à l’assurance ou envoyer des messages en se faisant passer pour un organisme de santé. Une information exacte sur un abonnement ou sur la santé ne prouve pas qu’un interlocuteur ou un expéditeur est légitime.

L’entreprise déclare avoir sécurisé les comptes concernés, déployé un outil avancé de protection contre les menaces et de surveillance, réexaminé ses politiques de sécurité existantes et mis en place des mesures supplémentaires. Elle a également signalé l’événement aux autorités chargées de l’application de la loi et aux organismes de réglementation auxquels elle devait le déclarer.

HPS a indiqué qu’elle enverrait des notifications par courrier aux personnes dont elle pouvait retrouver l’adresse et leur proposerait gratuitement une surveillance du crédit ainsi qu’une protection contre l’usurpation d’identité. Les conditions d’éligibilité et les dates d’inscription doivent être vérifiées dans la notification reçue directement.

Les destinataires d’une notification devraient examiner l’activité de leurs comptes financiers, leurs rapports de crédit et les décomptes de prestations de leur assurance maladie afin de repérer des comptes, des transactions ou des prestations qu’ils ne reconnaissent pas. Toute entrée suspecte devrait être signalée à la banque, à l’organisme d’assurance maladie ou au prestataire concerné, par des canaux dont l’authenticité a été vérifiée de manière indépendante.

Ne communiquez pas de numéro de sécurité sociale, d’informations d’assurance, de mot de passe ou de code de vérification en réponse à un appel ou à un message inattendu. Les personnes informées que leur numéro de sécurité sociale était concerné peuvent également envisager un gel gratuit de leur dossier de crédit ou une alerte à la fraude.