Fuite de données chez Medusind 2023

Dans le cadre de l’incident Medusind de 2023, les données susceptibles d’être concernées comprennent le prénom et le nom, la date de naissance, l’adresse électronique, l’adresse postale, le numéro de téléphone, les informations d’assurance maladie et de facturation, les informations de paiement, les coordonnées bancaires ou les données de carte bancaire, les informations médicales, les antécédents médicaux, le numéro de dossier médical et les informations relatives aux prescriptions. Des numéros de sécurité sociale, d’identification fiscale, de permis de conduire et de passeport, ainsi que des champs similaires relatifs à des pièces d’identité officielles, ont également été signalés.

La combinaison de ces données accroît simultanément les risques liés à la santé, à l’identité et aux finances. Les informations d’assurance maladie et de facturation peuvent être utilisées pour des demandes de remboursement de soins frauduleuses, des facturations erronées et des abus en matière d’assurance. Les personnes dont les données de carte ou de compte bancaire sont concernées présentent un risque accru de fraude financière. Les numéros de sécurité sociale, les permis de conduire, les passeports et les identifiants fiscaux présentent des risques à long terme d’usurpation d’identité. Les données telles que les antécédents médicaux, les prescriptions et les numéros de dossier sont particulièrement sensibles en raison des risques d’atteinte à la vie privée et de messages frauduleux personnalisés et ciblés.

Dans cette fiche, le 29 décembre 2023 est retenu à la fois comme date de l’incident et comme date de sa découverte. La notification officielle aux consommateurs et les informations relatives à l’accord de règlement situent l’incident à cette date. Bien qu’il soit indiqué que des fichiers pourraient avoir été copiés, cette fiche n’affirme pas que chaque fichier a effectivement été exporté ni que tous les types de données sont présents pour chaque personne. Medusind n’est pas un établissement de santé, mais un prestataire qui gère les processus de facturation et le cycle des revenus pour le compte de prestataires de soins médicaux et dentaires. Les répercussions peuvent donc s’étendre aux patients des clients de Medusind et aux dossiers les concernant.

Une distinction doit également être faite concernant le nombre de dossiers. Les premières notifications adressées aux États faisaient état de 360 934 personnes, tandis que la liste des violations de données de santé a ensuite mentionné 701 475 personnes. Cette fiche retient le chiffre le plus récent concernant les personnes touchées. Toutefois, elle précise clairement que ce nombre ne correspond ni à des comptes utilisateurs uniques ni à des entrées de mots de passe vérifiées. Les catégories de données retenues correspondent à celles mentionnées dans les notifications aux consommateurs et dans le texte de l’accord de règlement. Chaque utilisateur doit se référer aux champs indiqués dans la notification qui lui a été envoyée.

Le principal groupe à risque est constitué des patients dont les dossiers sont traités par des établissements de santé, des groupes de cabinets dentaires, des cliniques, des cabinets de médecins spécialistes ou des prestataires similaires faisant appel à Medusind. Une personne peut ne jamais avoir entendu parler de Medusind, car ce prestataire a pu gérer en arrière-plan la facturation, le cycle des revenus, les demandes de remboursement auprès des assurances ou les paiements des patients. Le périmètre de l’incident peut donc inclure non seulement les personnes ayant eu un contact direct avec Medusind, mais aussi les patients de ses clients.

Les personnes dont les informations d’assurance maladie et de facturation sont concernées doivent être attentives aux risques de demandes de remboursement frauduleuses ou de factures erronées. Celles dont les informations de paiement sont concernées doivent surveiller plus fréquemment leurs opérations bancaires et leurs transactions par carte. Les personnes dont les numéros d’identification officiels ou de sécurité sociale sont concernés présentent un risque accru de fraude liée au crédit, à la fiscalité, à l’ouverture de lignes téléphoniques et aux démarches administratives. Pour celles dont les antécédents médicaux ou les informations de prescription sont concernés, le risque d’atteinte à la vie privée est particulièrement important. Ces groupes doivent veiller non seulement aux mesures générales de sécurité, mais aussi à la protection conjointe de leurs dossiers de santé et de leurs données financières.

Les personnes potentiellement touchées par la fuite de données Medusind de 2023 doivent d’abord vérifier quels types de données figurent dans la notification reçue. Si celle-ci mentionne des numéros de sécurité sociale, des numéros d’identification fiscale ou des informations de permis de conduire ou de passeport, il convient d’obtenir un rapport de crédit et d’envisager des options telles que le gel du crédit ou une alerte à la fraude. Les personnes dont les données de carte ou de compte bancaire sont concernées doivent examiner régulièrement l’activité de leurs comptes et contacter rapidement leur banque en cas d’opération qu’elles ne reconnaissent pas.

Si des informations d’assurance maladie, de facturation ou des données médicales sont concernées, il faut vérifier les décomptes de l’assurance, les comptes patients, les demandes de remboursement pour des prestations inconnues et les factures inattendues. En présence d’un nom de prestataire inconnu, d’un acte médical erroné, d’une mention d’analyse de laboratoire inexpliquée dans le dossier ou d’une prescription non reconnue, il convient de contacter l’établissement de santé et l’assureur concernés en conservant une trace écrite. Il ne faut pas cliquer sur des liens inattendus envoyés sous prétexte de protéger l’identité, de rembourser un paiement, de corriger une facture ou de mettre à jour des informations d’assurance.

Dans cet incident, les données de santé, d’identité et de paiement peuvent se retrouver dans un même dossier : la protection doit donc s’inscrire dans la durée. Changer les mots de passe peut être utile pour les comptes patients. En revanche, les données telles que le numéro de sécurité sociale, le passeport, le permis de conduire, l’identifiant fiscal et les antécédents médicaux sont permanentes ou difficiles à modifier. Les utilisateurs doivent consulter leurs rapports de crédit à intervalles réguliers, être attentifs aux démarches frauduleuses pendant la période de déclaration fiscale et utiliser des alertes pour détecter rapidement l’ouverture de nouveaux comptes.

Les comptes patients donnant accès aux dossiers de santé, aux demandes de remboursement et à l’historique de facturation doivent être surveillés régulièrement. Des informations médicales erronées, des prescriptions inconnues, des demandes de prestations inattendues ou des versements d’assurance inexpliqués peuvent constituer des indicateurs de risque à long terme. Les prestataires de soins doivent utiliser des mots de passe robustes et uniques pour les comptes patients et activer l’authentification multifacteur lorsque cela est possible. Lors d’incidents impliquant des prestataires intervenant en arrière-plan, comme Medusind, les utilisateurs peuvent ne pas reconnaître le nom de l’entreprise. Il convient donc de vérifier attentivement l’établissement de santé, la date et les types de données mentionnés dans la notification.

La vérification proposée sur cette page permet à l’utilisateur de consulter les dossiers de patients et les données d’identité, de paiement et d’assurance maladie susceptibles d’être associés à la fuite de données Medusind de 2023. Une correspondance ne signifie pas que tous les types de données répertoriés ont été exposés pour une même personne. Les utilisateurs doivent fonder leurs actions sur les champs figurant dans leur propre notification et définir des mesures adaptées aux risques liés aux informations de paiement, aux données d’identité officielles, aux informations d’assurance maladie et aux données médicales.

Les utilisateurs qui constatent une correspondance doivent d’abord se concentrer sur les données les plus durables et celles dont l’utilisation abusive est la plus difficile à empêcher. Pour les données d’identité officielles et de sécurité sociale, la priorité est la vérification du crédit et des démarches administratives; pour les informations de paiement, la vérification des comptes bancaires et des transactions par carte; pour les données de santé, la vérification des dossiers d’assurance et des dossiers patients. La fuite de données Medusind de 2023 est un incident de sécurité des données de santé de grande ampleur. Elle montre que les dossiers conservés par les services de facturation et de gestion du cycle des revenus utilisés par les prestataires de soins sont eux aussi essentiels à la sécurité des patients.