Fuite de données chez HealthEquity 2024

Un document déposé auprès d’une autorité de régulation indique le 9 mars 2024 comme date connue de la violation. HealthEquity a reçu une alerte signalant une anomalie le 25 mars. L’analyse forensique s’est poursuivie jusqu’au 10 juin et, le 26 juin, l’entreprise a confirmé que des informations liées à certains destinataires étaient concernées.

Selon le document déposé auprès de la SEC, un comportement anormal a été observé depuis l’appareil à usage personnel du partenaire, un tiers non autorisé a utilisé le compte du partenaire pour accéder à des informations, et certaines informations ont été transférées hors des systèmes du partenaire. Aucun code malveillant ni aucune interruption de service n’ont été constatés dans les systèmes de HealthEquity. L’entreprise a déclaré avoir désactivé des comptes et des sessions, bloqué des adresses IP et imposé une réinitialisation des mots de passe à l’échelle du fournisseur.

Le chiffre d’environ 4,3 millions de personnes potentiellement touchées correspond à la population visée par les notifications, et non à un nombre de comptes, d’enregistrements locaux, de courriels ou de mots de passe. Le principal exemple de notification énumère les noms, adresses, numéros de téléphone, identifiants des salariés, employeurs, numéros de sécurité sociale, coordonnées générales des personnes à charge et certaines informations relatives aux cartes de paiement, à l’exclusion des numéros de cartes de paiement et des informations relatives aux cartes de débit HealthEquity. Les champs variaient selon les destinataires; la présence de diagnostics, de prescriptions, de types de services et de numéros de régime d’assurance maladie doit être étayée par des éléments distincts issus de notifications propres à chaque client.

Il n’existe localement aucun jeu de données contenant des données individuelles. Cet événement n’associe personne à un compte HealthEquity ou WageWorks, à un statut de salarié, de membre ou de personne à charge, à un employeur particulier, à un état de santé ou à des informations de paiement. Les données relatives à la sécurité sociale, aux personnes à charge, aux employeurs, à la santé et aux paiements doivent rester privées, et seuls les destinataires directs devraient se fier aux champs et aux conditions de service figurant dans leurs propres notifications.