Violation de données de NAS Recovery Solutions en 2026

La source principale est l’Avis important relatif à un incident de confidentialité, publié sur le site Squarespace de NAS Recovery Solutions. Ce document officiel d’une page indique explicitement la date de découverte, le téléchargement par des membres du personnel, les champs de données concernés, les catégories dont il a été expressément établi qu’elles n’étaient pas impliquées et les mesures correctives prises par l’organisation.

La deuxième confirmation provient du rapport de violation de données de HHS OCR, qui identifie l’entité comme un prestataire de soins de santé, classe l’incident comme un accès/une divulgation non autorisés, indique que les données se trouvaient dans des dossiers médicaux électroniques et sur un serveur réseau, et fait état de 7 000 personnes concernées. L’article du HIPAA Journal du 23 juillet 2026 reprend de manière indépendante le type d’incident, le nombre de personnes concernées et le périmètre limité décrits dans les sources officielles.

NAS Recovery Solutions a appris que certains membres de son personnel avaient peut-être téléchargé des informations précises sur des clients sans autorisation. L’organisation a décrit un non-respect des autorisations d’accès en interne, et non un piratage de son réseau par un acteur externe. Après cette découverte, elle a sécurisé les dossiers et systèmes concernés et mené une enquête approfondie sur l’incident.

L’avis officiel ne précise ni quand les fichiers ont été téléchargés, ni combien de temps les membres du personnel ont conservé leur accès, ni pourquoi ils ont obtenu ces informations. La date de l’incident repose sur la première activité technique pouvant être vérifiée à partir de sources publiques. Les sources n’indiquent pas non plus que les informations ont été publiées en ligne, vendues ou transmises à un attaquant externe.

L’avis officiel limite les champs potentiellement concernés au prénom, au nom de famille, au numéro de téléphone et à la date de naissance. Bien que ces données ne permettent pas à elles seules d’accéder à un compte financier, leur combinaison avec des informations provenant d’autres sources peut rendre plus convaincantes les tentatives d’hameçonnage, de fraude téléphonique, d’usurpation d’identité et d’ingénierie sociale ciblée.

Comme les données étaient détenues par un prestataire spécialisé dans le traitement des troubles liés à l’usage de substances, elles peuvent indirectement révéler qu’une personne est ou a été cliente de NAS Recovery Solutions. Ce lien est particulièrement sensible. L’avis officiel n’indique pas qu’un diagnostic précis, un plan de traitement, une note de thérapie, une ordonnance, un résultat de laboratoire ou le contenu d’un dossier clinique a été téléchargé.

L’enquête n’a pas relevé d’accès non autorisé aux numéros de sécurité sociale, aux numéros de permis de conduire, aux informations de comptes financiers, aux numéros d’identification d’assurance maladie ou aux informations de cartes de paiement. L’organisation a également déclaré expressément n’avoir constaté aucun accès non autorisé aux dossiers de traitement des troubles liés à l’usage de substances eux-mêmes.

Ces constats d’absence d’accès non autorisé n’annulent pas les risques pour la vie privée et de stigmatisation liés à la divulgation éventuelle du statut de client. Aucun décompte des personnes concernées par champ de données n’a été rendu public.

NAS Recovery Solutions a examiné les accès de son personnel et ses contrôles de sécurité, mis en place des mesures supplémentaires de protection de la confidentialité et de la sécurité, et renforcé la formation relative à HIPAA et à la confidentialité. L’organisation a également indiqué avoir pris des mesures correctives appropriées à l’égard des personnes impliquées, sans toutefois rendre publique la nature d’éventuelles sanctions professionnelles.

Les personnes concernées et les autorités de contrôle ont été informées conformément à la loi. Le chiffre de 7 000 personnes figurant dans le registre de HHS constitue le total public de référence.

Faites preuve de prudence face aux appels, SMS ou courriels inattendus dont les auteurs prétendent représenter NAS Recovery Solutions. Ne considérez pas la connaissance de votre nom, de votre numéro de téléphone et de votre date de naissance comme une preuve de leur légitimité. Pour répondre, passez par le site officiel de l’organisation ou par un moyen de contact préalablement vérifié, et évitez les liens non sollicités.

Si vous avez des questions, vous pouvez contacter le responsable de la protection de la vie privée au 720-239-2848, numéro indiqué dans l’avis officiel. Conservez les preuves de communications suspectes qui exploitent votre lien avec un prestataire de soins et signalez-les à l’organisation. Si vous recevez un message suspect ou constatez une activité suspecte sur un compte, vérifiez-en l’authenticité en utilisant les coordonnées officielles actuelles de l’organisation, sans suivre les liens du message. Lorsqu’une lettre de notification individuelle est disponible, elle constitue la source principale pour connaître le périmètre des données propres à la personne concernée et les options de protection proposées.