Violation de données chez North East Medical Services en 2025

La source principale est la lettre de notification de l’incident de trois pages envoyée au nom de North East Medical Services. Elle précise directement la date de détection, le possible accès non autorisé au sein du réseau de UnitedLayer, l’enquête menée avec des spécialistes externes en investigation numérique, l’achèvement de l’examen des données et les services gratuits de surveillance du crédit proposés aux personnes concernées.

La deuxième source est le portail des violations de données du HHS OCR; l’entrée de ce registre fédéral confirme le nombre de 91 513 personnes, la catégorie de l’incident et le serveur réseau comme emplacement concerné. Un résumé de ClassAction.org et le rapport des services du Massachusetts chargés de la protection des consommateurs auquel il renvoie mentionnent les numéros de sécurité sociale et les dossiers médicaux parmi les données potentiellement concernées. L’entreprise, le prestataire, les dates et le déroulement de l’événement concordent d’une source à l’autre.

Le 19 octobre, NEMS a détecté un possible accès non autorisé à certaines données hébergées sur le réseau de son prestataire de services informatiques gérés, UnitedLayer. L’organisation a immédiatement ouvert une enquête avec des spécialistes externes afin de déterminer la nature et l’étendue de cette activité. L’examen a révélé qu’une personne non autorisée pourrait avoir consulté une quantité limitée d’informations au sein du réseau.

NEMS a ensuite procédé à un examen exhaustif pour déterminer le contenu des données potentiellement touchées et identifier les personnes auxquelles elles se rapportaient. Ce travail s’est achevé le 17 décembre 2025; l’entrée du registre HHS est datée du lendemain, le 18 décembre. La date de l’incident repose sur l’activité technique la plus ancienne qui puisse être vérifiée à partir de sources publiques.

Le modèle général de notification indique que les données concernées peuvent comprendre les prénoms et noms, ainsi que d’autres champs propres à chaque destinataire. Les informations publiées sur la base du rapport de violation soumis au Massachusetts mentionnent expressément les numéros de sécurité sociale et les dossiers médicaux. Les nombres de personnes, les champs de données et les affirmations d’acteurs malveillants qui n’ont pas été vérifiés ne sont pas retenus dans le périmètre public de l’incident.

NEMS n’a pas indiqué que chaque type de données était présent pour chacune des 91 513 personnes. Cette fiche n’établit aucun décompte par sous-groupe et n’ajoute pas de données non divulguées : adresses, dates de naissance, informations figurant sur les permis de conduire, adresses e-mail, mots de passe, cartes de paiement, comptes bancaires ou identifiants d’assurance maladie. Les sources n’établissent pas non plus que les données ont été rendues publiques ou vendues, ni que l’incident est attribuable à un groupe particulier de cybercriminels utilisant des rançongiciels.

Le nombre de personnes ou d’enregistrements concernés publié par la source officielle représente le périmètre déclaré de l’incident. Il ne signifie pas que toutes les catégories de données divulguées concernaient chaque personne. Ce chiffre ne correspond pas à un nombre de fichiers, de documents médicaux, de visites en clinique ou d’éléments de données.

North East Medical Services est un réseau à but non lucratif de centres de santé communautaires qui accueille principalement des populations à faibles revenus et insuffisamment desservies par les services de santé, dans la région de la baie de San Francisco et à Las Vegas. Cet événement se distingue, par sa date, le système concerné, le type d’incident et son périmètre, du vol d’un ordinateur portable non chiffré subi par NEMS en 2015, qui avait touché 69 246 personnes.

NEMS a déclaré avoir pris des mesures pour sécuriser son environnement après avoir détecté le possible accès et avoir mené une enquête approfondie avec l’aide de spécialistes externes en investigation numérique. L’organisation a également examiné en détail les informations potentiellement touchées afin d’évaluer ses obligations de notification.

Les personnes concernées se sont vu proposer un service gratuit de surveillance du crédit par l’intermédiaire de Cyberscout, une société de TransUnion; dans la lettre type, la durée du service figure dans un champ propre à chaque destinataire. LeakData ne présume donc pas de la durée exacte de l’abonnement, qui ne figure pas dans le modèle public. NEMS a recommandé de surveiller les relevés de compte, les rapports de crédit et les formulaires de décompte des prestations d’assurance maladie afin de repérer toute activité suspecte.

Si vous avez reçu une notification, vous devriez activer le service gratuit de surveillance dans le délai d’inscription de 90 jours prévu par la lettre et examiner régulièrement vos rapports de crédit, les demandes de consultation de votre dossier liées à l’ouverture de nouveaux comptes et vos historiques de soins. Tout compte, acte médical ou demande de remboursement d’assurance que vous ne reconnaissez pas devrait être signalé à l’organisme concerné par un canal officiel que vous connaissiez déjà.

La combinaison des numéros de sécurité sociale et des dossiers médicaux augmente le risque d’usurpation d’identité et de fraude ciblée dans le domaine de la santé. Vous ne devriez pas ouvrir directement les liens contenus dans des messages inattendus prétendant provenir de NEMS, de UnitedLayer, d’une agence d’évaluation du crédit ou d’un assureur; pour prendre contact, passez d’abord par un site officiel ou un numéro vérifié.