Fuite de données de Longhorn Imaging Center (2023)

Lors de la vérification, le nom Longhorn Imaging Center, le domaine longhornimaging.com, le contexte des services de santé au Texas, la survenue de l’événement en juin 2023, la notification officielle concernant 100 643 personnes et les champs de données de santé auxquels il aurait été possible d’accéder par le portail des patients ont été examinés conjointement. Bien que certains répertoires de fuites aient fait état d’environ 272 000 lignes de données, ce chiffre n’a pas été directement retenu comme nombre de personnes distinctes touchées. Une valeur plus prudente de 100 643, proche du chiffre de la notification officielle, a été utilisée pour le nombre de personnes touchées. L’explication a été limitée afin d’éviter toute confusion entre le volume total des enregistrements et le nombre de personnes concernées.

La fuite de données de Longhorn Imaging Center expose les utilisateurs à des risques en matière de confidentialité des données de santé, d’authentification et de fraude ciblée. En combinant le nom, la date de naissance, le genre, l’adresse et le contexte des soins, des attaquants peuvent élaborer des messages portant sur des rendez-vous, des résultats d’imagerie, la vérification de l’assurance, la facturation, des mises à jour du portail des patients ou le partage de documents. Les utilisateurs s’attendant déjà à recevoir des notifications de rendez-vous et de documents dans le cadre de leurs soins, ces messages peuvent paraître plus convaincants. Il convient donc d’évaluer cet incident non seulement comme un risque lié aux données de contact, mais aussi comme un risque pour la confidentialité des données de santé et un risque d’ingénierie sociale.

Dans cet incident, les catégories de données visibles sont considérées comme sensibles, car le contexte des soins peut fournir des indications indirectes sur le parcours de soins d’une personne, ses liens avec un établissement ou ses démarches d’assurance. La fiche n’a pas été élargie comme si les données contenaient des maladies précises, des résultats d’imagerie ou un contenu clinique détaillé. Toutefois, la seule présence de champs relatifs à la santé et à l’assurance fournit un contexte suffisant pour des tentatives d’hameçonnage et de fraude. Ne faites pas automatiquement confiance à une personne qui vous appelle et connaît votre nom exact, votre date de naissance, votre adresse ou votre établissement de santé. Vérifiez chaque demande par un canal indépendant.

Si vous êtes susceptible d’être lié à Longhorn Imaging Center, vérifiez la présence de notifications inhabituelles dans vos portails de patients, votre messagerie et vos comptes d’assurance et financiers. Toute facture inattendue, mise à jour d’assurance, confirmation de rendez-vous, résultat d’imagerie, téléchargement de document ou lien de réinitialisation du mot de passe du portail des patients doit être vérifié directement par les canaux officiels connus. Ne communiquez pas de codes à usage unique, de pièces d’identité, d’informations de paiement ou de numéro d’assurance en réponse à une demande reçue par téléphone. Face à un message qui semble provenir d’un prestataire de soins, utilisez l’adresse ou le numéro de téléphone connu de l’établissement plutôt que les liens du message.

Pour les établissements, la fuite de données de Longhorn Imaging Center souligne la nécessité de contrôles supplémentaires sur les accès au portail des patients et aux technologies de santé de prestataires tiers. Lorsque des champs tels que le nom du patient, sa date de naissance, son adresse et ses informations d’assurance sont considérés comme compromis, il n’est pas sûr de vérifier son identité à l’aide de ces seules informations. Les établissements de santé devraient mettre en place une authentification multifacteur, une surveillance des sessions et un audit des comportements suspects dans les processus d’accès au portail, de téléchargement de documents, de paiement des factures, de vérification de l’assurance et de modification des coordonnées des patients. Le personnel devrait être informé du caractère potentiellement très persuasif des messages d’ingénierie sociale liés à la santé.

Le périmètre de la fiche consacrée à la fuite de données de Longhorn Imaging Center a été volontairement limité aux éléments étayés. Le chiffre de 100 643 personnes touchées a été conservé. Les nombres de lignes plus élevés observés dans différentes sources n’ont pas été enregistrés comme nombre d’utilisateurs. La fiche n’a pas été élargie comme si les données contenaient des informations de carte bancaire, de compte bancaire, de mot de passe ou de numéro de sécurité sociale. Néanmoins, la combinaison du prénom et du nom, de la date de naissance, de l’adresse, des données de santé et des informations d’assurance présente une grande sensibilité. Même un faible volume d’enregistrements de données de santé peut avoir des conséquences plus graves que de vastes listes de contacts.

Le niveau de risque global a été évalué comme critique, car la fuite de données de Longhorn Imaging Center associe des liens avec des services de santé à des informations d’identité et d’assurance. Si vous recherchez des informations sur cette fuite, les mesures les plus pratiques consistent à consulter directement le portail officiel des patients, à vérifier de manière indépendante les messages inattendus concernant la santé et l’assurance, à activer une vérification supplémentaire sur votre compte de messagerie, à faire preuve de prudence face aux liens demandant un paiement ou des documents, et à ne pas considérer comme fiables les recherches qui prennent pour point de départ des informations de santé. Cette notice a été rédigée pour présenter les enjeux de confidentialité des données de santé sans exagérer le risque ni le minimiser.

Lors d’une comparaison complémentaire des sources, le champ relatif au genre des patients a été réintégré aux catégories de données, car sa présence est également étayée dans le contexte des dossiers de santé. Les éléments tels que la date du traitement, le nom de l’établissement ou celui du médecin n’ont pas été ajoutés comme catégories distinctes. Ils ont été évalués au sein des données de santé personnelles qui précisent le contexte du service de santé. La fiche conserve ainsi le nombre de personnes touchées étayé par les notifications officielles, tout en présentant plus précisément l’étendue des champs de données divulgués, sans induire les utilisateurs en erreur.