Violation de données chez Mid America Physician Services en 2024

Le principal document décrivant l’incident est l’avis d’incident de sécurité des données publié pour MAPS le 15 juillet 2025. Il explique que l’organisation a découvert un événement sur son réseau, a mené une enquête avec des spécialistes externes de la cybersécurité et a ainsi constaté l’exposition de certaines informations concernant des patients. L’avis précise également que les forces de l’ordre ont été informées.

L’entrée du HHS OCR répertorie Mid America Physician Services comme prestataire de soins de santé, classe l’événement dans la catégorie piratage/incident informatique et indique un serveur réseau comme emplacement des informations; le nombre exact de personnes touchées est de 104 513. Le portail du procureur général du Texas consacré à la sécurité des données publie les catégories de données d’identité et financières concernées par l’événement. L’identité de l’entreprise est également établie par le site officiel de Johnson County OB/GYN, qui se présente comme une division de Mid America Physician Services LLC et affiche le logo officiel de MAPS.

MAPS a découvert un incident réseau touchant ses systèmes informatiques le 14 novembre 2024 ou vers cette date. L’entreprise a immédiatement fait appel à des spécialistes externes de la cybersécurité pour évaluer l’incident, le contenir et y remédier. La date retenue pour l’incident correspond à la première activité technique vérifiable à partir des sources publiques.

L’examen des fichiers s’est achevé vers le 8 mai 2025 et a permis d’identifier les types d’informations exposées concernant les patients. L’entreprise a publié son avis public le 15 juillet, en expliquant que les personnes potentiellement touchées étaient en train d’être informées et recevaient des ressources pour se protéger. La date du 13 janvier 2025 figurant dans l’entrée du HHS OCR correspond à la déclaration aux autorités fédérales et n’est pas considérée comme la date de début de l’incident.

La liste générale confirmée dans l’avis de MAPS comprend les noms, les adresses, les dates de naissance, ainsi que les informations relatives aux traitements médicaux, à la facturation et à l’assurance maladie. Le registre réglementaire du Texas y ajoute les numéros de sécurité sociale et les informations financières. Les chiffres concernant le nombre de personnes, les champs de données et les affirmations d’acteurs malveillants ne sont pas retenus dans le périmètre public de l’incident s’ils ne sont pas vérifiés.

L’organisation n’a pas indiqué que la même combinaison de données concernait chaque patient. Les informations relatives aux traitements et à l’assurance peuvent permettre une usurpation d’identité à des fins médicales, tandis que les numéros de sécurité sociale et les informations financières peuvent faciliter des fraudes à l’identité ou sur des comptes. Cette fiche reprend le constat d’exposition établi par les sources, sans affirmer que des fichiers ont été rendus publics, vendus ou obtenus par un groupe malveillant nommément identifié.

Le nombre de personnes ou d’enregistrements touchés publié par la source officielle représente le périmètre déclaré de l’incident. Il ne signifie pas que toutes les catégories de données divulguées concernaient chaque personne. Ce chiffre correspond aux personnes visées par la notification, et non au nombre de fichiers, de lignes ou de champs exposés. Plusieurs éléments de données peuvent être concernés pour une personne, tandis qu’une autre peut n’être touchée que par une partie de la liste publiée.

Mid America Physician Services exerce ses activités par l’intermédiaire de quatre divisions cliniques : Johnson County OB/GYN, Women's Care, Women's Clinic of Johnson County et Women's Health Associates. Ces marques étant concernées par le même événement chez MAPS, elles ne font pas l’objet de fiches de violation de données distinctes. Le dispositif de prévention des doublons couvre tous ces noms, afin qu’une recherche portant sur n’importe laquelle de ces cliniques renvoie à un seul incident vérifié.

Après avoir identifié l’événement, l’entreprise a travaillé avec des spécialistes externes pour l’évaluer, le contenir et y remédier, et a informé les forces de l’ordre. MAPS a déclaré avoir pris des mesures supplémentaires pour réduire la probabilité d’un événement similaire, sans publier les détails techniques de ces dispositifs. LeakData n’invente pas de mesures de sécurité qui n’ont pas été divulguées.

Au moment de la publication de l’avis, l’enquête n’avait mis au jour aucun cas de fraude ou d’usurpation d’identité résultant de l’incident. Ce constat décrit la situation connue au moment de la notification et ne garantit pas que les données sensibles d’identité, de santé ou financières ne seront jamais utilisées à mauvais escient. L’entreprise a déclaré qu’elle fournissait aux personnes touchées des ressources pour se protéger et qu’elle poursuivait ses efforts en matière de sécurité de l’information.

Si vous avez reçu un avis, fondez-vous sur les champs de données indiqués dans votre courrier individuel et consultez régulièrement vos rapports de crédit, vos comptes bancaires, vos factures et les décomptes de prestations de votre assurance maladie. Si vous constatez un service médical, un traitement, une demande de remboursement ou une procédure de recouvrement que vous ne reconnaissez pas, contactez le prestataire et l’assureur en utilisant des coordonnées officielles que vous connaissiez déjà.

Si votre numéro de sécurité sociale ou vos informations financières étaient concernés, vous pouvez envisager la mise en place gratuite d’alertes à la fraude et d’un gel de votre dossier de crédit. N’ouvrez pas directement les liens transmis lors d’appels ou figurant dans des e-mails ou des demandes de paiement inattendus qui utilisent les noms de MAPS ou de ses cliniques affiliées.