Violation de données chez Healthcare Services Group (624 496 personnes touchées)

Selon la notification officielle de l’entreprise, un tiers non autorisé pourrait avoir accédé à des fichiers des systèmes de HCSG et les avoir copiés entre le 27 septembre et le 3 octobre 2024. L’entreprise a pris connaissance de cet accès potentiellement non autorisé le 7 octobre 2024.

HCSG n’a pas précisé les moyens techniques utilisés pour accéder à ses systèmes. Les détails non vérifiés concernant la méthode d’attaque ou son auteur ne figurent donc pas dans cette fiche du catalogue.

La notification de l’entreprise indique que HCSG a pris connaissance de l’incident le 7 octobre 2024. L’entreprise a ensuite procédé à un examen approfondi pour déterminer le contenu des fichiers et identifier les personnes dont les données étaient concernées.

Le registre de l’autorité de régulation du Texas mentionne le 3 juin 2025 dans un champ distinct relatif à la découverte de l’incident, mais l’entreprise indique explicitement en avoir pris connaissance en 2024. Cette date ultérieure n’est donc présentée ni comme la date de l’accès ni comme celle de la détection initiale.

La notification officielle énumère des noms, des numéros de sécurité sociale, des dates de naissance, des numéros de permis de conduire et de pièces d’identité délivrées par un État, des données relatives aux comptes financiers, des renseignements sur l’assurance maladie, des données médicales, des identifiants d’accès aux comptes, des identifiants biométriques, des numéros d’identification délivrés par les pouvoirs publics et des numéros de passeport.

Les données concernées variaient d’une personne à l’autre. Cela ne signifie pas que tous les éléments énumérés figuraient dans les fichiers de chaque personne.

Le procureur général du Texas fait état de 624 496 personnes touchées à l’échelle nationale, dont 82 280 résidents du Texas. Un document déposé auprès de l’autorité de régulation de l’État de Washington signale séparément 7 745 résidents touchés dans cet État.

Les données d’identité, les données financières et les informations d’accès aux comptes peuvent faciliter l’usurpation d’identité, les demandes frauduleuses d’ouverture de comptes ou les tentatives de prise de contrôle de comptes. Les renseignements sur la santé et l’assurance peuvent donner l’impression que des messages ciblés se rapportent à une véritable prestation ou à un paiement réel.

Si vous recevez un message inattendu prétendant provenir de HCSG, d’un établissement de soins, d’un assureur santé ou d’une banque, utilisez le canal de contact officiel de l’organisme plutôt que de suivre un lien fourni. Des renseignements exacts sur la santé ou l’emploi ne prouvent pas que l’expéditeur dispose d’une autorisation.

HCSG a sécurisé ses systèmes, mené une enquête, informé les forces de l’ordre fédérales et déclaré avoir mis en place des mesures de protection supplémentaires ainsi que des formations pour son personnel. L’entreprise a proposé aux personnes touchées des services gratuits de surveillance du crédit et de restauration de l’identité par l’intermédiaire d’Experian.

Les destinataires de la notification peuvent s’inscrire au service de surveillance dans le délai indiqué dans leur courrier individuel et examiner leurs rapports de crédit, leurs comptes financiers et leurs décomptes d’assurance maladie pour repérer toute activité qu’ils ne reconnaissent pas.

Si vous constatez une transaction, un nouveau compte ou une prestation de soins que vous ne reconnaissez pas, contactez directement l’organisme concerné. Ne communiquez aucun mot de passe, code de vérification ou renseignement de paiement en réponse à un appel ou à un message inattendu.