Violation de données de Northwoods Surgery Center en 2025

La source principale est le PDF intitulé « Notification d’un incident de sécurité des données », daté du 7 novembre 2025 et publié sur le site de Northwoods Surgery Center. Il décrit directement la date de découverte, la période pendant laquelle un accès a pu avoir lieu, l’enquête menée avec des spécialistes externes, les catégories de données de santé susceptibles de figurer dans les fichiers, les améliorations apportées à la sécurité et les services de protection proposés.

La fiche du HHS OCR classe l’établissement comme un prestataire de soins de santé du Minnesota et indique 5 385 personnes, une date de déclaration au 29 avril 2026, un serveur réseau comme emplacement concerné et un incident de type « Hacking/IT Incident » (piratage/incident informatique). Claim Depot présente la chronologie officielle et les catégories d’informations aux côtés de la fiche fédérale, ce qui permet au public de vérifier l’événement.

Northwoods a pris connaissance d’une activité non autorisée sur son réseau le 8 septembre 2025 ou aux alentours de cette date, et a immédiatement pris des mesures pour sécuriser le réseau et empêcher tout nouvel accès. Une enquête menée avec des spécialistes externes a établi qu’un tiers non autorisé avait pu accéder à une quantité limitée d’informations entre le 11 juillet et le 8 septembre.

L’avis officiel indique que l’analyse était encore en cours lors de sa publication et qu’un éventuel accès aux informations ne pouvait être exclu. La source n’affirme pas que des fichiers ont effectivement été copiés ou exfiltrés et ne précise ni l’identité de l’auteur de l’attaque ni la méthode d’accès initiale. Les nombres de personnes non vérifiés, les catégories de données non vérifiées et les affirmations non vérifiées relatives à l’auteur de l’attaque ne sont pas retenus dans le périmètre de l’incident présenté au public.

Les données potentiellement concernées comprennent les noms des patients, leurs adresses, leurs dates de naissance, leurs informations d’assurance maladie et leurs numéros de dossier médical. Cette combinaison peut présenter des risques d’hameçonnage ciblé, de fraude à l’assurance et d’usurpation d’identité à des fins médicales. Le texte officiel indique que les fichiers ont pu contenir des informations de santé protégées (PHI) concernant un nombre limité de patients.

Le total de 5 385 personnes indiqué par le HHS ne signifie pas que chaque catégorie d’informations concernait chaque personne. Les combinaisons peuvent varier, et le nombre de fichiers n’a pas été communiqué.

La liste officielle comprend le nom d’un médecin, le type de pratique médicale, la date d’une prestation de soins, des informations sur les médicaments, les diagnostics et les traitements, ainsi que des informations relatives aux demandes de remboursement de soins ou à la facturation. Ces données peuvent relier un patient à un prestataire de soins, à une intervention et à un historique de soins particuliers. Elles sont sensibles du point de vue de la confidentialité des informations de santé.

L’avis n’indique pas que l’ensemble du système de dossiers médicaux électroniques ou les dossiers complets des patients ont été touchés. Un type de pratique médicale et une date de prestation ne permettent pas d’établir qu’une intervention chirurgicale précise, une note clinique détaillée ou un résultat d’imagerie étaient concernés.

Northwoods a sécurisé le réseau, interrompu l’accès et fait appel à des spécialistes externes pour une analyse forensique. L’établissement indique avoir travaillé avec ces spécialistes pour évaluer et renforcer les mesures de sécurité existantes sur l’ensemble de son réseau et dans ses locaux. Au moment de la publication de l’avis, aucun élément ne faisait état d’une utilisation frauduleuse des informations ni d’une tentative en ce sens.

Des services de surveillance du crédit et de protection de l’identité ont été proposés aux personnes potentiellement concernées. Un numéro d’assistance accessible en semaine, le 1-833-833-6099, a été publié pour obtenir des informations sur l’incident et de l’aide à l’inscription aux services. L’avis public ne précisant pas la durée de ces services, LeakData n’invente ni durée ni formule proposée par un prestataire.

Il est recommandé aux patients d’examiner leurs décomptes de prestations d’assurance maladie, leurs factures médicales, leurs historiques de prescriptions et leurs portails patients afin de repérer des prestations ou des demandes de remboursement qu’ils ne reconnaissent pas. Si vous repérez le nom d’un médecin, une date de prestation, un médicament, un diagnostic, un traitement ou un montant facturé que vous ne reconnaissez pas, informez le prestataire de soins et l’assureur concernés par un canal de contact vérifié.

Ne communiquez pas votre date de naissance, vos informations d’assurance ou votre numéro de dossier médical en réponse à un courriel, un SMS ou un appel inattendu prétendant provenir de Northwoods; utilisez uniquement le numéro d’assistance figurant dans l’avis officiel. Si vous recevez un message suspect ou constatez une activité suspecte sur un compte, vérifiez le message ou l’activité en question par le canal de contact officiel actuel de l’établissement, sans utiliser les liens du message. Lorsqu’une lettre de notification individuelle est disponible, elle constitue la source principale pour connaître les données concernées propres à la personne et les options de protection proposées. Les dates et les catégories de données ne doivent être interprétées que dans la mesure où les sources publiques le permettent; les détails non divulgués ne doivent pas être considérés comme confirmés.