Fuite de données du New York Blood Center (193 822 personnes touchées)

L’enquête numérique a établi que le tiers non autorisé avait eu accès au réseau du 20 au 26 janvier 2025. New York Blood Center a détecté une activité suspecte le 26 janvier et confirmé qu’il s’agissait d’une attaque par rançongiciel.

L’organisation a établi une liste préliminaire des personnes touchées le 30 juin, puis finalisé cette liste le 12 août 2025 après un examen approfondi. L’envoi des lettres de notification a commencé le 5 septembre.

Le tiers non autorisé a accédé au réseau informatique de l’organisation et obtenu une copie de certains fichiers. L’attaque a également perturbé les systèmes, entraînant des retards et des annulations dans certaines activités de don de sang.

New York Blood Center n’a pas divulgué les moyens techniques utilisés pour accéder au réseau. Bien que l’organisation ait confirmé une attaque par rançongiciel, elle n’a pas identifié le groupe responsable, et des sources fiables ne font état d’aucune revendication connue.

Les documents officiels mentionnent des noms, des adresses, des numéros de sécurité sociale, des numéros de permis de conduire ou d’autres pièces d’identité délivrées par les autorités, des informations sur les comptes financiers et des informations médicales.

Les données touchées variaient selon les personnes. Cela ne signifie pas que tous les champs mentionnés figuraient dans les fichiers de chaque personne.

Le procureur général du Texas fait état de 193 822 personnes touchées à l’échelle nationale, dont 10 557 résidents du Texas. HIPAA Journal rapporte également que l’organisation a confirmé par la suite le total de 193 822 personnes.

Les numéros de sécurité sociale, les pièces d’identité officielles et les informations sur les comptes financiers peuvent faciliter l’usurpation d’identité, les demandes frauduleuses d’ouverture de compte ou la fraude aux paiements. Les informations médicales peuvent donner l’impression que des messages ciblés se rapportent à un don de sang réel ou à une véritable relation de soins.

Si vous recevez un message inattendu prétendant provenir de New York Blood Center, d’un hôpital ou d’une banque, utilisez le canal de contact officiel de l’organisation plutôt que de suivre un lien fourni dans le message. Des détails exacts sur un don ou sur votre santé ne prouvent pas que l’expéditeur est habilité à vous contacter.

L’organisation a déclaré avoir travaillé avec des spécialistes de la cybersécurité pour contenir l’attaque, exclure l’attaquant de son réseau, avertir les forces de l’ordre et renforcer ses mesures de protection. Elle a proposé un an de surveillance du crédit et de protection de l’identité aux personnes éligibles dont les numéros de sécurité sociale ou de permis de conduire avaient été touchés.

Si vous avez reçu une notification, vous pouvez vous inscrire au service de protection proposé dans le délai indiqué dans votre lettre et examiner vos rapports de crédit, vos comptes financiers et vos décomptes d’assurance maladie pour repérer toute activité que vous ne reconnaissez pas.

Si vous constatez une transaction, un nouveau compte ou une prestation de santé que vous ne reconnaissez pas, contactez directement l’organisation concernée. Ne communiquez pas de mot de passe, de code de vérification ni d’informations de paiement en réponse à un appel ou à un message inattendu.