Violation de données de MCBS en 2025

MCBS a confirmé dans son propre avis public que son réseau avait subi un accès non autorisé. Une investigation numérique menée avec des spécialistes de la cybersécurité a établi qu'un utilisateur non autorisé était présent dans les systèmes entre le 22 et le 26 septembre. Cette compromission confirmée du réseau a été déclarée sur le portail fédéral du HHS comme un incident de piratage ou de sécurité informatique impliquant un serveur réseau.

L'entreprise a indiqué que certains fichiers avaient pu être consultés ou extraits; elle n'a pas présenté l'exfiltration comme un fait établi. Cette fiche confirme donc une violation de données réelle et déclarée, sans présenter le vol de données comme certain. HIPAA Journal fait également état de la même période établie par l'investigation numérique et d'une possible acquisition d'informations.

La date de l'incident correspond à la première activité technique vérifiable à partir de sources publiques. MCBS a détecté une activité non autorisée vers le 25 septembre, a contenu l'incident et a ouvert une enquête; la période d'accès non autorisé s'est achevée le 26 septembre. La date de détection ne remplace pas la date de début, antérieure.

L'entreprise a examiné manuellement les fichiers potentiellement touchés et a déterminé le 28 mai 2026 qu'ils avaient pu contenir des données personnelles et des informations de santé. L'incident a été déclaré au HHS OCR le 26 juin 2026, puis a figuré sur la liste fédérale avec un périmètre de 1 261 464 personnes. La durée de cet examen s'explique par le travail nécessaire pour rattacher les fichiers de différents clients aux personnes et aux champs de données concernés.

Les champs d'identité mentionnés dans les informations publiées étaient les noms, les adresses postales, les dates de naissance et les numéros de sécurité sociale. Les numéros de bénéficiaire d'un régime de santé, les numéros de police d'assurance maladie ou d'identification des assurés, ainsi que d'autres informations d'assurance étaient également potentiellement concernés. Les nombres de personnes, les champs de données et les affirmations d'acteurs malveillants qui n'ont pas été vérifiés ne sont pas intégrés au périmètre public de l'incident.

Les numéros de sécurité sociale et les dates de naissance sont des identifiants durables. Leur association avec des identifiants d'assurance peut accroître le risque d'ouverture frauduleuse de comptes, de demandes frauduleuses de remboursement de soins ou d'hameçonnage ciblé. L'entreprise a déclaré ne disposer d'aucun élément attestant une usurpation d'identité liée à l'incident. L'absence d'utilisation abusive détectée ne signifie pas que l'exposition des données ne crée aucun risque futur.

Les catégories de données médicales concernées étaient les antécédents médicaux, les états de santé mentale ou physique, les informations sur les traitements médicaux et les diagnostics. Ces catégories peuvent révéler des éléments sensibles concernant aussi bien des soins passés qu'un problème de santé en cours. Les sources ne confirment pas séparément la présence de résultats de laboratoire, d'ordonnances, d'images ou de numéros de dossier médical; ces champs ne sont donc ni déduits ni ajoutés.

MCBS assure des services de facturation et de gestion pour des prestataires de soins. Ce rôle explique pourquoi des données d'identité et d'assurance pouvaient figurer dans les mêmes ensembles de fichiers que des informations cliniques. Le HHS classe l'entreprise comme partenaire commercial; les entités couvertes touchées ne sont pas présentées comme ayant chacune subi une attaque distincte.

Le nombre de personnes ou d'enregistrements touchés publié par la source officielle représente l'étendue déclarée de l'incident. Il ne signifie pas que chaque catégorie de données mentionnée concernait chaque personne. L'avis public initial de MCBS ne précisait aucun nombre, et l'article de HIPAA Journal paru début juillet indiquait que le total n'était pas encore connu. Le nombre publié ultérieurement par l'autorité de contrôle constitue le chiffre actuel vérifié, qui remplace cette incertitude initiale dans la présente fiche.

L'entreprise cite C&C MD PC, Nuclear Medicine and Pathology Associates, Radiation Oncology Associates, SkinPath Solutions, South Georgia Radiology Consultants, Stephen W. Brown & Radiology Associates of Augusta et Vascular Radiology Associates II comme entités couvertes. Le total fédéral n'est ni réparti entre elles, ni compté sept fois, ni divisé en sous-totaux inventés.

Dans son avis public, MCBS recommandait aux personnes concernées de vérifier régulièrement l'activité de leurs comptes financiers et d'envisager une alerte à la fraude gratuite d'une durée d'un an ou un gel de leur dossier de crédit. HIPAA Journal a rapporté que les personnes touchées s'étaient vu proposer 12 mois de surveillance du crédit et de protection contre l'usurpation d'identité. Si vous avez reçu une notification, suivez la procédure d'inscription et référez-vous à la couverture précise indiquées dans votre courrier.

En plus de vos rapports de crédit, examinez vos décomptes d'assurance maladie pour repérer des prestations, des prestataires ou des demandes de remboursement que vous ne reconnaissez pas. Toute demande inattendue de paiement ou de vérification d'identité faite au nom de MCBS ou d'un prestataire associé doit être vérifiée par un canal officiel connu. LeakData ne publie aucune donnée personnelle, médicale ou d'assurance; le site documente uniquement les métadonnées vérifiées de l'incident.