Violation de données chez Hudson Valley Medical Billing & Credentialing en 2026

Le document principal est un modèle de lettre de notification daté du 7 juillet 2026 et publié par le Bureau de la consommation et de la réglementation des entreprises du Massachusetts. Il explique directement que l’organisation fournit des services de facturation des patients et de gestion des créances clients, décrit l’accès potentiel et l’enquête, précise le motif de la notification et présente les ressources de protection proposées aux destinataires.

HHS OCR classe l’organisation comme un prestataire partenaire situé dans l’État de New York et indique 5 459 personnes concernées, une date de dépôt au 7 juillet 2026, des informations situées sur un ordinateur de bureau et un serveur réseau, ainsi qu’un incident de type piratage/informatique. Dans une synthèse indépendante, Claim Depot rassemble ce même total, le dépôt effectué au Massachusetts le 15 juillet et les catégories d’informations mentionnées dans les notifications.

Selon la lettre officielle, Hudson Valley Medical Billing & Credentialing a pris connaissance d’un possible accès non autorisé à un système informatique le 6 mars. L’entreprise a immédiatement éteint l’ordinateur touché et ouvert une enquête pour déterminer si des informations de santé avaient été affectées. La date de l’incident correspond à la première activité technique pouvant être vérifiée à partir de sources publiques.

L’entreprise indique explicitement qu’elle n’a pas pu déterminer si des éléments précis présents sur le système avaient effectivement été consultés au cours de cet éventuel incident. La notification a été envoyée par précaution, car le système contenait des informations de santé qui avaient pu être accessibles. LeakData ne présente donc pas cet événement comme une exfiltration confirmée, une copie vérifiée de données ou l’œuvre d’un groupe malveillant identifié.

Le rapport fédéral actuel du HHS fait état de 5 459 personnes au total et indique que les informations concernées par la violation se trouvaient sur un ordinateur de bureau et un serveur réseau. Ce chiffre correspond au nombre de personnes entrant dans le périmètre de la déclaration réglementaire, et non à un nombre de fichiers, de comptes ou de documents.

La classification du HHS ne précise pas la méthode technique utilisée pour accéder au système. Les seules mentions d’un ordinateur de bureau et d’un serveur réseau ne prouvent ni un hameçonnage, ni la présence d’un logiciel malveillant, ni un accès à distance au bureau, ni l’utilisation d’identifiants volés, ni l’exploitation d’une vulnérabilité particulière. Les sources ne précisent pas le moment du premier accès, sa durée ou l’identité de l’auteur; cette fiche ne formule donc aucune hypothèse sur ces points.

La synthèse de Claim Depot, qui renvoie aux communications officielles, mentionne les noms, les numéros de sécurité sociale, les informations relatives aux comptes financiers et les dossiers médicaux parmi les catégories potentiellement concernées. Les catégories présentes peuvent varier d’une personne à l’autre. Dans le modèle de lettre officielle, le champ relatif aux données exposées reste un espace réservé à remplir pour chaque destinataire. Cette fiche n’affirme donc pas que toutes les catégories concernaient chacune des 5 459 personnes.

La lettre officielle confirme que des informations de santé étaient présentes sur le système et avaient pu être accessibles, mais son texte général n’énumère pas séparément les diagnostics, les traitements, les prescriptions, les demandes de remboursement auprès des assurances ou les résultats d’analyses de laboratoire. Les nombres de personnes, les champs de données et les affirmations concernant les auteurs de l’attaque qui ne sont pas vérifiés ne sont pas considérés comme faisant partie du périmètre public de l’incident.

Hudson Valley Medical Billing & Credentialing indique avoir éteint l’ordinateur touché, travaillé au rétablissement de ses systèmes, renforcé les contrôles d’accès et évalué des mesures de protection techniques supplémentaires. L’entreprise a déclaré n’avoir trouvé aucun élément indiquant une utilisation abusive des informations liées à l’incident. Cette déclaration n’exclut pas le risque à plus long terme lié aux informations qui ont pu être accessibles.

Les personnes concernées se sont vu proposer gratuitement des services de surveillance du crédit et de protection de l’identité par l’intermédiaire de CyberScout. L’organisation a également communiqué le numéro d’une ligne d’assistance joignable en semaine : 1-833-851-4874.

Si vous avez reçu une notification, consultez régulièrement vos opérations bancaires et par carte de paiement, vos rapports de solvabilité et vos relevés de prestations d’assurance maladie pendant au moins les 12 à 24 prochains mois. Si vous constatez un compte, une demande de consultation de votre dossier de crédit, une prestation médicale ou une demande de remboursement que vous ne reconnaissez pas, contactez l’établissement concerné par un canal vérifié. Une alerte à la fraude gratuite ou un gel de votre dossier de crédit peuvent également être indiqués.

Faites preuve de prudence face aux e-mails, SMS et appels inattendus de personnes affirmant représenter Hudson Valley Medical Billing ou CyberScout. Ne transmettez pas de numéro de sécurité sociale, de coordonnées bancaires ou d’informations de santé par l’intermédiaire d’un lien.