Violation de données de Mainline Health Systems en 2024

La source principale est l’avis relatif à un incident de sécurité des données publié pour Mainline Health Systems Inc. L’organisme indique que l’événement s’est produit le 10 avril 2024 ou aux alentours de cette date, que les autorités fédérales chargées de l’application de la loi ont été informées, que des professionnels externes de la cybersécurité ont été sollicités et qu’un examen manuel a été effectué pour déterminer l’étendue des informations compromises sur son réseau.

La déclaration déposée auprès du procureur général du Maine confirme que 101 104 personnes sont concernées et que la notification aux consommateurs est datée du 20 juin 2025. Le HHS OCR indique le même total et classe Mainline comme prestataire de soins de santé, l’événement comme piratage/incident informatique et l’emplacement des informations comme serveur réseau. Le HIPAA Journal a comparé de manière indépendante la lettre, la déclaration déposée auprès de l’État et le périmètre déclaré au niveau fédéral.

Mainline a subi l’incident de sécurité le 10 avril 2024 ou aux alentours de cette date et a commencé son enquête dès qu’il en a eu connaissance. La date de l’incident repose sur l’activité technique la plus ancienne pouvant être vérifiée à partir de sources publiques. Les sources ne précisent ni une date de début d’accès antérieure ni une date de fin exacte; cette fiche n’invente donc pas de période d’intrusion sans fondement.

L’organisme a complété son enquête technique par un examen manuel afin d’identifier les fichiers touchés et les personnes devant être informées. Le 21 mai 2025, il a déterminé que certains fichiers contenaient des informations personnelles et de santé protégées. Les lettres ont été envoyées le 20 juin; cet intervalle d’environ quatorze mois correspond à l’enquête et au rapprochement des données, et non à la durée pendant laquelle les attaquants ont eu accès au réseau.

La lettre officielle énumère les noms complets avec les dates de naissance, les numéros de sécurité sociale, les numéros de permis de conduire américains, les numéros de comptes financiers et les informations permettant d’y accéder, les numéros de cartes de paiement et les informations permettant d’y accéder, les numéros de dossiers médicaux, les identifiants de patients, les numéros Medicaid ainsi que les numéros de contrat et de groupe d’assurance santé.

Les données relatives à la santé comprennent les diagnostics médicaux, les traitements ou actes médicaux, les informations cliniques, les prescriptions, les noms des prestataires de soins et leurs lieux d’exercice. Les chiffres non vérifiés concernant le nombre de personnes, les champs de données non confirmés et les allégations non vérifiées concernant les acteurs malveillants ne sont pas retenus dans le périmètre public de l’incident. L’avis précise expressément que chaque personne n’était pas concernée par l’ensemble des éléments de données; la même combinaison de données n’est donc pas attribuée aux 101 104 personnes.

Le nombre de personnes ou d’enregistrements concernés publié par la source officielle représente le périmètre déclaré de l’incident. Il ne signifie pas que chaque catégorie de données mentionnée concernait chaque personne. Il correspond aux personnes informées en raison de l’incident, et non à un nombre de fichiers, de lignes de base de données, de prestations médicales ou de champs de données. Une même personne peut avoir des informations dans plusieurs catégories.

Les sources décrivent les fichiers du réseau comme touchés et les informations comme compromises, mais ne font état ni d’une diffusion publique, ni d’une vente, ni d’une attribution à un acteur nommé. Les chiffres non vérifiés concernant le nombre de personnes, les champs de données non confirmés et les allégations non vérifiées concernant les acteurs malveillants ne sont pas retenus dans le périmètre public de l’incident.

Après avoir pris connaissance de l’incident, l’organisme a informé les autorités fédérales chargées de l’application de la loi et sollicité des professionnels externes de la cybersécurité qui enquêtent régulièrement sur ce type d’événement. Le contenu des fichiers a été examiné manuellement en complément de l’enquête technique. Au moment de la notification, Mainline a déclaré n’avoir connaissance d’aucune fraude à l’identité ou fraude financière résultant de l’incident.

Un service gratuit de surveillance du crédit a été proposé aux personnes dont les numéros de sécurité sociale avaient été touchés. Mainline a également fourni des ressources détaillées sur les alertes à la fraude, le gel des dossiers de crédit, la consultation des rapports de crédit et la protection contre l’usurpation d’identité médicale. L’absence d’utilisation abusive connue n’élimine pas les risques futurs liés aux données d’identité et de santé qui restent valables à long terme.

Si vous avez reçu une notification et que votre numéro de sécurité sociale est concerné, activez le service de surveillance proposé avant la date limite indiquée. Vérifiez régulièrement vos rapports de crédit, vos relevés financiers, les opérations effectuées avec vos cartes de paiement et les décomptes de prestations de votre assurance santé pour repérer des comptes, des transactions, des prestations médicales, des prescriptions ou des demandes de remboursement que vous ne reconnaissez pas.

Si les informations de votre compte ou de votre carte ont été touchées, contactez votre banque ou l’émetteur de votre carte par un canal officiel afin de déterminer si un remplacement est approprié. Vérifiez toute prestation de soins que vous ne reconnaissez pas auprès du prestataire et de l’assureur, et faites preuve de prudence face aux messages inattendus utilisant le nom de Mainline.