Fuite de données chez Laurel Eye Clinic

Les champs de données concernés par la fuite de Laurel Eye Clinic peuvent varier d’une personne à l’autre. Les champs confirmés sont le prénom et le nom, la date de naissance, les informations relatives au permis de conduire, le nom d’utilisateur, le mot de passe, les informations médicales et les informations d’assurance maladie. Cette combinaison présente un risque particulièrement élevé pour les comptes liés aux soins de santé, les procédures d’authentification et l’historique des services fournis aux patients. La présence de noms d’utilisateur et de mots de passe augmente le risque de prises de contrôle de comptes en chaîne lorsqu’un même mot de passe est utilisé sur d’autres portails patients, comptes de messagerie ou comptes d’assurance. Les données d’identité, comme la date de naissance et les informations du permis de conduire, peuvent servir à des tentatives de vérification frauduleuses ou à des escroqueries sous prétexte de vérifier l’identité. Les informations médicales et les données d’assurance maladie appellent à la vigilance face aux prestations que le patient ne reconnaît pas, à la fausse facturation, à l’utilisation abusive de l’assurance et aux communications trompeuses faites au nom du patient.

Le périmètre vérifié de cette fiche couvre 145 221 personnes. Le 26 janvier 2025, date à laquelle la panne réseau et l’activité suspecte ont été constatées, a été retenu comme date de l’incident. Le 6 mars 2025 correspond à l’étape où il est devenu clair que certains fichiers avaient pu être obtenus par une personne non autorisée. Le 30 octobre 2025 est la date d’achèvement de l’examen des données, le 15 avril 2026 celle de la finalisation de la liste des personnes à informer et le 22 avril 2026 celle du début du processus de notification aux utilisateurs. Les types de données ne sont pas identiques pour toutes les personnes : seuls certains champs peuvent figurer dans le dossier d’une personne. Les catégories de données affichées à l’utilisateur sont donc limitées aux champs mentionnés dans les déclarations communes et validées. Le décompte interne des enregistrements n’a pas été porté au-delà du nombre officiel de personnes, car aucun volume distinct de lignes de données divulguées n’a été vérifié.

Le groupe le plus exposé au risque comprend les patients actuels et anciens ayant eu un examen, des soins d’optométrie ou d’ophtalmologie, une préparation à une intervention chirurgicale, une autorisation de prise en charge par l’assurance, un rendez-vous de suivi ou un compte patient traité par Laurel Eye Clinic. Les personnes dont le nom d’utilisateur et le mot de passe sont concernés devraient agir en priorité si elles ont utilisé les mêmes identifiants sur d’autres portails de santé, comptes de messagerie ou comptes d’assurance. Les personnes dont la date de naissance et les informations relatives au permis de conduire sont concernées devraient redoubler de vigilance face aux appels imitant des procédures de vérification d’identité et aux tentatives de dépôt de demandes frauduleuses. Les utilisateurs dont les informations médicales ou d’assurance maladie sont concernées devraient consulter régulièrement les documents d’information de leur assurance pour repérer des prestations, des prestataires, des prescriptions, des actes, des factures ou des demandes de remboursement qu’ils ne reconnaissent pas. Le processus de notification de cet incident s’étalant sur une longue période, le risque ne se limite pas à la semaine de la première annonce.

Les utilisateurs qui constatent une correspondance avec cette fuite devraient d’abord vérifier la sécurité des mots de passe de leur portail patient, de leur compte de messagerie et de leur compte d’assurance maladie. Si des mots de passe identiques ou similaires sont utilisés sur d’autres comptes, ils devraient tous être remplacés par des mots de passe robustes et uniques, et une authentification supplémentaire devrait être activée lorsque cela est possible. Les personnes dont les données d’identité, comme les informations relatives au permis de conduire ou la date de naissance, ont pu être touchées devraient vérifier de manière indépendante l’identité de l’organisme qui les contacte avant de communiquer des informations en réponse à des appels ou à des messages demandant une vérification d’identité. Les utilisateurs dont les informations d’assurance maladie sont concernées devraient examiner les documents d’information de leur assurance et leurs comptes patients, puis noter toute opération ou prestation qu’ils ne reconnaissent pas. Si un enregistrement suspect est repéré, il convient d’appeler le prestataire de soins ou l’organisme d’assurance concerné en utilisant ses coordonnées habituelles.

Le cas de Laurel Eye Clinic nécessite un suivi à long terme, car il touche à la fois aux données de santé, aux données d’identité et aux identifiants de connexion. Les utilisateurs devraient laisser activées les notifications de leur portail patient, archiver les documents d’information de leur assurance et examiner sans délai toute notification inattendue de dette, de facture, de rendez-vous, de prescription ou de prestation. Utiliser un gestionnaire de mots de passe, garder les comptes de santé et d’assurance distincts des autres comptes, ne pas réutiliser d’anciens mots de passe et protéger le compte de messagerie par une authentification supplémentaire robuste permet de réduire durablement le risque. L’utilisation abusive de données de santé est parfois détectée plus tard que les transactions financières; les comptes patients et les opérations d’assurance devraient donc être examinés à quelques mois d’intervalle. Si un enregistrement médical douteux est repéré, l’utilisateur devrait également vérifier l’exactitude de ses antécédents médicaux.

Une correspondance lors de la vérification de la fuite de données de Laurel Eye Clinic sur LeakData indique que la personne pourrait figurer parmi les enregistrements associés à cet incident. Les utilisateurs qui obtiennent une correspondance ne devraient pas se contenter de changer leur mot de passe : le compte patient, le compte d’assurance maladie, le compte de messagerie et le risque lié à l’identité doivent être pris en compte ensemble. L’absence de correspondance ne garantit pas une absence totale de risque : certaines personnes peuvent avoir reçu une notification par courrier, ou la correspondance avec les enregistrements peut ne pas couvrir l’ensemble des données de la personne. Il est recommandé aux personnes ayant reçu des soins de Laurel Eye Clinic par le passé de conserver leurs lettres de notification, de documenter et de signaler à l’établissement les opérations de santé ou d’assurance qu’elles ne reconnaissent pas, et de ne pas communiquer d’informations personnelles via des liens reçus de manière inattendue. Cette fiche est publiée sur la base du nombre vérifié de personnes et des types de données identifiés.