Fuite de données de Norton Healthcare en 2023

Les notifications vérifiées décrivent les types de données à risque suivants : nom, coordonnées, numéro de sécurité sociale, date de naissance, informations de santé, informations d’assurance et numéro d’identification médicale. Certains fichiers peuvent également contenir des numéros de permis de conduire ou d’autres pièces d’identité officielles, des numéros de comptes financiers et des signatures numériques. Il n’a pas été affirmé que tous ces champs étaient présents pour chaque personne; les types de données touchées peuvent varier d’une personne à l’autre.

Cette combinaison de données présente un risque particulièrement élevé d’usurpation d’identité, de demandes frauduleuses de prise en charge de soins, de fraude à l’assurance, de ciblage de comptes financiers et d’ingénierie sociale personnalisée. Le numéro de sécurité sociale et la date de naissance sont des données d’identité permanentes; une fois ces données exposées, un simple changement de mot de passe ne suffit pas à éliminer complètement le risque. Les informations de santé et d’assurance peuvent, quant à elles, permettre aux attaquants de gagner la confiance des personnes visées en élaborant des scénarios plus convaincants autour de la relation de soins, de la facturation, des rendez-vous, des résultats d’analyses, des accords de prise en charge par l’assurance ou des remboursements.

Les dates vérifiées de la fuite se situent entre le 7 mai 2023 et le 9 mai 2023; la date de découverte consignée est le 9 mai 2023. La notification à l’autorité de régulation fait état de 2 500 000 personnes touchées au total. Ce chiffre sert de référence au nombre de personnes touchées indiqué dans cette fiche. L’incident a été déclaré comme une intrusion externe dans le système et une attaque par rançongiciel. L’entreprise a indiqué qu’après l’incident, elle avait fait appel à des experts externes en sécurité pour mettre fin à l’accès non autorisé et avait renforcé ses mesures de sécurité.

Cette fiche ne laisse pas entendre que le système de dossiers médicaux ou le portail patient ont été directement compromis, car l’avis officiel précise qu’aucun accès à ces systèmes n’a eu lieu. De même, elle ne suppose pas que les données de toutes les personnes comprenaient des numéros de comptes financiers, des signatures numériques ou des pièces d’identité officielles. Ces catégories constituent uniquement des risques supplémentaires susceptibles d’avoir concerné certains cas. La fiche rend ainsi compte à la fois de l’ampleur de la fuite et de ses limites vérifiées, sans exagération.

Les principaux groupes à risque sont les patients de Norton Healthcare, les employés, les anciens employés, les personnes à la charge des employés et les bénéficiaires. Les notifications indiquaient que les fichiers contenaient principalement des informations sur les patients, les employés et les personnes à charge. Ainsi, les personnes disposant d’un compte patient actif ne sont pas les seules à pouvoir être touchées : celles qui ont reçu des soins par le passé, celles qui figurent dans les dossiers du personnel ou celles qui sont enregistrées dans le système comme proches d’un employé peuvent également l’être.

L’existence d’un modèle de notification concernant les mineurs souligne l’importance particulière des risques d’usurpation d’identité touchant les enfants. Les numéros de sécurité sociale ou les informations d’identité des enfants peuvent être utilisés à des fins frauduleuses pendant longtemps sans que cela soit remarqué, car leurs antécédents de crédit et leur activité financière font l’objet d’une surveillance moins approfondie que ceux des adultes. Pour les employés actuels et anciens, des tentatives de fraude ciblées peuvent être constatées à partir d’informations sur les salaires, les avantages sociaux, les assurances et les personnes à charge.

Les personnes susceptibles d’être touchées doivent d’abord vérifier quelles catégories de données sont mentionnées dans la notification qu’elles reçoivent. Si celle-ci inclut un numéro de sécurité sociale, une date de naissance, une pièce d’identité officielle ou un numéro de compte financier, des mesures de protection telles que le gel du dossier de crédit, les alertes à la fraude et la surveillance de l’activité des comptes doivent être sérieusement envisagées. Les relevés d’assurance maladie, les documents de facturation médicale et les courriers des prestataires de soins doivent être vérifiés régulièrement.

Les appels téléphoniques, e-mails, SMS ou demandes reçues par courrier de manière inattendue doivent être traités avec prudence. Si un numéro de sécurité sociale, des informations bancaires, un code de vérification ou un mot de passe de compte sont demandés sous prétexte de services de santé, d’assurance, de correction de facturation, de vérification d’identité ou de services de protection gratuits, ces informations ne doivent pas être communiquées. Pour contacter l’établissement, les utilisateurs doivent passer par les canaux vérifiés figurant dans les notifications ou sur le site officiel, sans faire d’emblée confiance aux liens reçus.

Pour les organismes de santé, cet incident montre que la protection des équipements de stockage en réseau doit être considérée comme aussi critique que celle du portail patient. Même si le système principal de dossiers médicaux n’est pas compromis, les espaces de partage de fichiers, les archives, les documents des ressources humaines et les dossiers d’assurance peuvent contenir de grandes quantités de données sensibles. La minimisation des données, le contrôle des accès au niveau des fichiers, la segmentation du réseau, la vérification régulière des sauvegardes, la surveillance comportementale et la mise en place de couches de sécurité distinctes pour les espaces de fichiers à haut risque s’imposent donc.

Pour les utilisateurs, la protection à long terme ne doit pas être envisagée comme se limitant à un service de surveillance de deux ans. Les numéros de sécurité sociale, les dates de naissance et les informations de santé sont permanents; ces données peuvent être utilisées des années plus tard pour des demandes frauduleuses, des récupérations de comptes ou des fraudes à l’assurance maladie. Les personnes touchées doivent continuer à vérifier régulièrement leurs rapports de crédit, leurs relevés d’assurance maladie, les courriers de recouvrement inattendus et les notifications de changement d’adresse.

Cette fiche sur LeakData a été préparée pour présenter de manière compréhensible la date vérifiée de la fuite de données de Norton Healthcare en 2023, le nombre total de personnes touchées et les types de données divulguées. L’apparition de cette fiche lors d’une vérification d’adresse e-mail ou de domaine ne prouve pas à elle seule quelles catégories de données d’une personne ont été touchées; elle indique toutefois que les utilisateurs ayant un lien avec Norton Healthcare en tant que patient, employé, ancien employé, personne à charge ou bénéficiaire doivent examiner attentivement les notifications.

Lorsqu’ils voient cette fiche, les utilisateurs doivent d’abord évaluer leur propre lien avec les services de santé ou leur statut d’employé ou de personne à charge, puis surveiller les activités liées à leur identité, à leur crédit, à leur assurance maladie et à leurs comptes financiers. En cas de facture médicale, d’opération d’assurance, de demande de crédit ou de modification de compte suspecte, l’organisme concerné doit être contacté directement par un canal indépendant. Cette fiche a été classée comme particulièrement sensible en raison des risques liés aux données d’identité, aux informations de santé, aux informations d’assurance et, pour certaines personnes, aux comptes financiers ou aux pièces d’identité officielles.