Violation de données chez MedStar Health en 2025

La source principale est l’avis officiel de MedStar Health concernant l’incident de confidentialité des données. Il précise la période d’accès non autorisé du 12 au 16 septembre, la découverte de l’incident le 4 octobre, la détermination du périmètre des données concernées le 12 novembre, les courriers du 3 décembre, les types de données potentiellement concernés et le numéro d’assistance 855-403-1763. Une copie PDF conservée reprend le même texte que la page officielle.

La deuxième source est l’entrée officielle HHS/OCR datée du 3 décembre, qui fait état de 64 332 personnes. La page de source publique sur la fuite de données consacrée à l’incident, qui renvoie à l’avis de l’entreprise, corrobore les dates et les catégories de données. L’implication d’un groupe de cybercriminels utilisant un rançongiciel, cité dans des sources secondaires, n’est pas confirmée dans le texte public de MedStar; elle n’est donc pas présentée comme une conclusion officielle dans le titre, la description ou les étiquettes.

L’enquête de MedStar a établi qu’un tiers extérieur avait obtenu un accès non autorisé, du 12 au 16 septembre, à des systèmes contenant des informations sur des patients. Lorsque l’organisation a pris connaissance de l’incident le 4 octobre, elle a immédiatement pris des mesures pour sécuriser ses systèmes, fait appel à des spécialistes en investigation numérique et informé les forces de l’ordre.

Le 12 novembre, l’examen a établi que les fichiers auxquels le tiers non autorisé avait accédé contenaient des informations sur des patients. MedStar a commencé à envoyer des courriers à certains patients le 3 décembre. Le texte public ne précise ni la méthode d’accès initiale, ni l’identité du tiers, ni le nombre de fichiers, ni si chaque fichier a été copié; cette fiche ne comble pas ces inconnues par des suppositions.

L’avis officiel indique que les fichiers consultés contenaient les noms, les dates de naissance et les numéros de sécurité sociale des patients. Selon les personnes, ils pouvaient également contenir des diagnostics, des médicaments, des résultats d’examens, des images, des informations sur l’assurance santé et des informations sur les traitements. L’avis ne dit pas que toutes ces données étaient présentes pour chaque patient.

MedStar a également déclaré avoir proposé un service de surveillance de l’identité aux patients dont les numéros de sécurité sociale ou de permis de conduire pouvaient avoir été concernés. Le numéro de permis de conduire est donc répertorié comme une catégorie de données potentiellement concernée. Les comptes bancaires, les cartes de paiement, les mots de passe et les identifiants de connexion au portail des patients ne sont pas mentionnés dans le texte public et ne sont pas ajoutés ici.

Le nombre de personnes ou d’enregistrements concernés publié par la source officielle représente l’étendue déclarée de l’incident. Il ne signifie pas que chaque catégorie de données mentionnée concernait chaque personne. Il ne correspond ni au nombre de fichiers, d’images ou de résultats de laboratoire, ni à l’ensemble des patients de MedStar; il s’agit du nombre de personnes déclaré à l’autorité de contrôle.

L’affichage public du nombre de comptes concernés indique 64 332, tandis que le compteur d’importation reste à zéro, car il constitue une mesure opérationnelle distincte.

La combinaison du nom, de la date de naissance, du SSN et du numéro de permis de conduire peut accroître les risques d’usurpation d’identité, de fraude à l’ouverture de nouveaux comptes ou de fraude fiscale. Les informations sur les diagnostics, les médicaments, les résultats d’examens, les images médicales et les traitements peuvent servir à élaborer des messages frauduleux personnalisés liés aux soins de santé, tandis que les informations d’assurance peuvent fournir un contexte pour des demandes de remboursement ou des factures frauduleuses.

Les destinataires doivent examiner les décomptes de prestations de leur assurance santé et les avis relatifs à des examens ou à des traitements, en plus de leurs rapports de crédit et de leurs relevés financiers. Utilisez un canal de communication vérifié de l’établissement plutôt qu’un lien figurant dans un message inattendu prétendant provenir de MedStar ou d’un médecin, et ne communiquez ni votre SSN complet, ni un mot de passe, ni des informations de paiement, ni un code à usage unique.

MedStar a déclaré avoir sécurisé ses systèmes, mené une enquête avec des experts externes en investigation numérique, informé les forces de l’ordre et poursuivi l’examen et le renforcement de ses mesures de cybersécurité physiques, techniques et administratives. Un service gratuit de surveillance de l’identité a été proposé à certains patients dont les SSN ou les numéros de permis de conduire étaient concernés.

Le centre d’appels dédié, joignable au 855-403-1763, répond aux questions en semaine, de 9 h à 21 h, heure de l’Est. Les destinataires doivent tenir compte des catégories de données indiquées dans leur propre courrier et suivre les instructions d’inscription qui y figurent. Ils doivent aussi vérifier immédiatement auprès du prestataire de soins ou de l’assureur toute facturation de soins qu’ils n’ont pas reçus. Une alerte à la fraude ou un gel gratuit du dossier de crédit peuvent être indiqués si une activité de crédit inhabituelle apparaît. Tout message ou événement suspect sur un compte doit être vérifié via le canal de contact officiel actuel de l’organisation, sans utiliser les liens contenus dans le message. Lorsqu’un courrier de notification individuel est disponible, il constitue la source principale pour connaître les données concernées propres à la personne et les options de protection proposées.