Violation de données de Mid Michigan Medical Billing Service en 2025

La source principale est l’avis de MMMBS relatif à un incident de cybersécurité, daté du 2 janvier 2026. Il confirme l’accès au réseau le 27 mars 2025, la copie et la consultation potentielle de fichiers, l’achèvement de l’examen des données vers le 2 décembre 2025, les catégories concernées, la notification aux autorités fédérales chargées de l’application de la loi et aux autorités de régulation, ainsi que le numéro d’assistance 833-303-3875.

La deuxième source est l’entrée officielle du HHS/OCR datée du 5 janvier 2026, qui mentionne 28 185 personnes, un partenaire commercial, la catégorie « piratage/incident informatique » et un serveur réseau. Source publique sur la fuite de données conserve une copie du document et un lien vers le HHS depuis que la page du prestataire a commencé à renvoyer une erreur 404. Les affirmations de cette source secondaire concernant l’auteur de l’attaque et une rançon ne sont pas retenues, car elles ne figurent pas dans l’avis du prestataire.

MMMBS a détecté une activité suspecte sur son réseau informatique, a mis ses systèmes hors ligne et a ouvert une enquête. Celle-ci a établi qu’une personne inconnue était entrée sur le réseau le 27 mars et que des fichiers avaient été copiés et potentiellement consultés. La société a procédé à un examen détaillé afin d’identifier les informations et les personnes associées aux fichiers auxquels cette personne avait accédé.

L’examen des données s’est achevé vers le 2 décembre 2025. MMMBS a informé les partenaires commerciaux concernés et a travaillé avec eux pour avertir les personnes potentiellement touchées. Le document public ne précise ni la méthode d’accès initial, ni le compte ou la vulnérabilité utilisés, ni la durée exacte de l’accès, ni l’identité de l’auteur de l’attaque.

Les données, qui variaient selon les personnes et les clients de MMMBS, comprenaient les noms, les dates de naissance, les numéros de permis de conduire ou de pièces d’identité délivrées par les autorités, les numéros de passeport, les numéros d’identification d’employeur et les données biométriques. Des numéros de cartes de paiement étaient également concernés. Les numéros de sécurité sociale n’étaient présents que dans un nombre limité de cas.

Les données d’identité et financières peuvent accroître les risques d’usurpation d’identité, d’ouverture frauduleuse de comptes, de fraude au paiement et d’hameçonnage ciblé. Les « données biométriques » figurent comme une catégorie générale dans l’avis du prestataire; cette fiche n’en déduit pas un sous-type non signalé, comme un gabarit facial ou une empreinte digitale. Si vous avez reçu un avis indiquant que vos données de carte sont concernées, vous pouvez vérifier vos transactions par un canal bancaire que vous connaissez.

Les données de santé comprenaient les numéros d’identification Medicare ou Medicaid, les informations sur les diagnostics et les traitements, les numéros de dossiers médicaux, les numéros de comptes patients, les informations d’assurance maladie et les noms des professionnels de santé assurant le traitement ou ayant orienté le patient. Ces catégories peuvent révéler des informations sur la facturation médicale et les professionnels de santé concernés.

Si vous avez reçu un avis, vous pouvez examiner les relevés de prestations, l’activité de vos comptes patient et d’assurance, les traitements ou les professionnels de santé que vous ne reconnaissez pas, ainsi que les messages de facturation inattendus. Même un message contenant des informations authentiques issues d’un dossier médical ou d’un compte, ou le véritable nom d’un professionnel de santé, n’est pas nécessairement légitime; vérifiez-le séparément par un canal de votre prestataire de santé ou de votre assureur que vous connaissez.

Le chiffre de 28 185 correspond au nombre de personnes concernées déclaré au HHS/OCR et constitue le total officiel actuellement rendu public. Le nombre de personnes ou d’enregistrements concernés publié par la source officielle correspond au périmètre déclaré de l’incident. Cela ne signifie pas que chaque catégorie de données mentionnée concernait chaque personne.

MMMBS étant un partenaire commercial, les informations peuvent concerner plusieurs de ses clients prestataires de santé. Les éventuels sous-totaux publiés ultérieurement par client ou par État ne doivent pas être ajoutés au total national du HHS. Même si le même événement figure dans les avis de différents prestataires, aucune deuxième fiche faisant doublon n’est créée pour l’incident central de MMMBS.

MMMBS a déclaré avoir réagi à cette activité, évalué et sécurisé le réseau, informé les entités et les personnes concernées, réexaminé ses politiques et procédures existantes et renforcé ses mesures de sécurité. Elle a averti les autorités fédérales chargées de l’application de la loi et les autorités de régulation. Le numéro d’assistance 833-303-3875 est indiqué comme joignable les jours de semaine, de 8 h à 20 h, heure de l’Est.

Selon les données mentionnées dans votre courrier, vous pouvez envisager un gel du dossier de crédit et une alerte à la fraude si un SSN ou une pièce d’identité officielle est concerné, une vérification des transactions pour une carte de paiement, et un examen des prestations et des dossiers patients pour des informations de santé. Ne communiquez pas de mot de passe, de SSN complet ou de code à usage unique, et n’effectuez aucun paiement en réponse à un message inattendu utilisant le nom de MMMBS, d’un prestataire de santé ou d’un assureur.