Violation de données chez Kootenai Health en 2024

Le 2 mars 2024, Kootenai Health a détecté une activité inhabituelle qui perturbait l’accès à certains systèmes informatiques, a sécurisé son environnement et a lancé une enquête avec des spécialistes externes en cybersécurité. L’enquête a établi qu’une personne non identifiée pourrait avoir accédé à certaines données du réseau aux alentours du 22 février. L’examen visant à identifier les informations concernées et les adresses postales actuelles s’est achevé le 1er août, et l’organisme a envoyé les notifications par courrier le 12 août.

La notification officielle inclut Kootenai Clinic, Kootenai Outpatient Surgery et Kootenai Outpatient Imaging dans le périmètre concerné. L’organisme a déclaré avoir informé le FBI et mis en place des mesures de sécurité supplémentaires. Il a également indiqué que sa capacité à prendre en charge les patients n’avait pas été affectée et qu’il n’avait connaissance d’aucune tentative d’utilisation abusive au 12 août. Cette dernière déclaration décrit uniquement ce qui était connu au moment de la publication de la notification.

La ligne consacrée à Kootenai Health dans l’export CSV en ligne du HHS/OCR confirme le nombre de 464 088 personnes, une date de déclaration au 24 avril 2024, le type de violation « Hacking/IT Incident » (piratage/incident informatique) et l’emplacement « Serveur réseau ». Il s’agit des valeurs figurant dans la liste fédérale officielle. Les sous-ensembles de résidents mentionnés dans les notifications des États sont compris dans le total national et ne sont pas ajoutés une seconde fois.

Pour cette entrée, il n’existe aucune tâche d’importation locale ni aucune association à une personne dans les collections d’adresses e-mail, de noms d’utilisateur, de mots de passe, de données sensibles ou de données générales sur les violations de données. Le chiffre de 464 088 correspond donc au nombre total de personnes touchées déclaré au HHS, et non à un nombre d’enregistrements locaux.

Les catégories de données, qui varient selon la personne, sont les noms, les dates de naissance, les numéros de sécurité sociale, les numéros de permis de conduire ou d’autres pièces d’identité délivrées par les autorités, les numéros de dossier médical, les informations sur les traitements médicaux et l’état de santé, les diagnostics médicaux, les informations sur les médicaments et les informations d’assurance maladie. Le texte officiel se limite à indiquer que ces informations « pourraient avoir été concernées »; il n’affirme pas que des fichiers ont été extraits avec certitude, que chaque champ concernait chaque personne, ni qu’un compte ou une vulnérabilité en particulier a permis l’accès initial.

Les destinataires dont les données d’identité étaient concernées peuvent vérifier leurs rapports de crédit, les nouveaux comptes et les changements d’adresse. Ceux dont les données de santé ou d’assurance étaient concernées peuvent examiner leurs dossiers médicaux, l’activité sur leur portail patient, les traitements ou médicaments qu’ils ne reconnaissent pas, les factures et les relevés de prestations. L’organisme a proposé des services de protection de l’identité d’IDX; la date limite d’inscription du 7 novembre 2024 figurant dans le modèle de courrier du Massachusetts est désormais passée. Pour toute demande d’aide ou vérification de l’éligibilité actuelle, il convient de passer par un canal dont l’authenticité a été vérifiée à partir de kh.org.

La page consacrée à l’incident n’est plus publiée sur le site actuel de Kootenai Health; les sources s’appuient donc sur une archive web de la notification officielle du 12 août 2024. Le domaine principal kh.org reste actif. Un message inattendu utilisant le nom de Kootenai Health ou d’IDX ne doit pas être considéré comme fiable au seul motif qu’il contient des données personnelles exactes. Les destinataires ne doivent pas communiquer un numéro de sécurité sociale complet, un mot de passe ou un code à usage unique, ni effectuer de paiement.