Violation de données de NYC Health + Hospitals en 2025

NYC Health + Hospitals a annoncé le 24 mars 2026 que des données personnelles et des informations de santé protégées avaient été exposées lors d’un incident de sécurité. Une analyse forensique a établi que le tiers non autorisé était resté dans le réseau pendant environ onze semaines et avait exfiltré des fichiers. Cette déclaration permet de qualifier l’événement d’obtention de données confirmée par l’organisation, et non de simple consultation possible.

HHS OCR classe l’événement dans la catégorie « Piratage/incident informatique », indique « Serveur réseau » comme emplacement des informations et « Prestataire de soins de santé » comme type d’entité. HIPAA Journal a comparé la déclaration de l’organisation avec la fiche fédérale, corroborant la période d’accès, l’exfiltration, les groupes concernés et les grandes catégories de données. Les sources n’attribuent pas l’attaque à un groupe de rançongiciels en particulier.

L’auteur de l’attaque a accédé au réseau pour la première fois le 25 novembre 2025. L’organisation a détecté une activité suspecte et sécurisé ses systèmes le 2 février 2026, mais l’enquête a établi que l’accès s’était poursuivi jusqu’au 11 février. La date de l’incident correspond à la première activité technique vérifiable à partir des sources publiques.

L’organisation a annoncé l’incident publiquement en mars 2026, tout en poursuivant l’examen des fichiers concernés. L’entrée du HHS porte la date de soumission du 24 mars et indique 1,8 million de personnes. NYC Health + Hospitals a déclaré que l’accès initial avait pu faire suite à une violation de sécurité chez un prestataire tiers non identifié; en l’absence de confirmation, cette fiche d’origine n’identifie ni le prestataire ni la méthode technique.

Les informations médicales comprenaient des numéros de dossier médical, des codes relatifs au handicap, des diagnostics, des médicaments, des résultats d’examens, des images et des plans de traitement. Ces données contiennent des informations détaillées et durables sur la santé d’une personne. L’organisation n’ayant pas indiqué que chaque fichier contenait tous les types de données cliniques, ces catégories décrivent les données susceptibles d’être concernées pour chaque personne.

Des informations sur les régimes et contrats d’assurance maladie, des noms d’assureurs, des identifiants d’adhérent et de groupe, ainsi que des identifiants Medicaid, Medicare ou d’autres organismes payeurs publics ont pu être concernés. Les informations de facturation et de demande de remboursement entraient également dans le périmètre de l’incident. Ces données peuvent faciliter les demandes frauduleuses de remboursement de soins, l’usurpation d’identité médicale et les escroqueries ciblées à l’assurance.

Les données personnelles comprenaient des noms, des numéros de sécurité sociale, des numéros de permis de conduire ou d’autres pièces d’identité officielles, ainsi que des numéros d’identification fiscale. Les codes PIN de protection de l’identité délivrés par l’IRS et les données de géolocalisation précise entraient également dans le périmètre de l’incident. Des numéros de carte de crédit ou de débit, ainsi que des informations ou des identifiants d’accès à des comptes financiers, étaient aussi concernés, ce qui accroît les risques de fraude fiscale, de fraude aux prestations sociales et d’ouverture frauduleuse de nouveaux comptes.

Des informations biométriques, telles que des empreintes digitales et palmaires, ainsi que des identifiants d’accès à des comptes en ligne, étaient présents dans les fichiers. Les mots de passe peuvent être modifiés, mais les caractéristiques biométriques sont permanentes, ce qui entraîne des conséquences plus durables. Cette liste étendue ne signifie pas que chaque personne était concernée par toutes les catégories de données.

Un incident distinct impliquant NADAP, partenaire chargé de la coordination des soins, a également touché des patients de NYC Health + Hospitals à peu près à la même période. Cet événement concernait environ 5 086 personnes en novembre 2025 et a exposé des noms, des dates de naissance, des adresses, des numéros Medicaid, des numéros de sécurité sociale et des informations cliniques liées aux soins à domicile.

L’événement chez NADAP concernait une autre organisation, avait une date de découverte différente et un périmètre de notification distinct. Cet incident n’est donc pas inclus dans le bilan de 1,8 million de personnes concernées par la violation de données sur le réseau. Cette séparation évite un éventuel double comptage et la fusion d’incidents distincts.

NYC Health + Hospitals a proposé 24 mois de surveillance du crédit et de protection contre l’usurpation d’identité gratuites aux personnes ayant été patientes ou membres du personnel entre 2020 et le 2 février 2026. Si vous avez reçu une notification, surveillez vos rapports de crédit, vos comptes fiscaux et de prestations sociales, vos cartes et votre activité bancaire. Envisagez un gel de votre dossier de crédit si votre numéro de sécurité sociale était concerné.

Signalez les prestations et demandes de remboursement que vous ne reconnaissez pas sur vos relevés médicaux ou d’assurance. Si vos informations biométriques ou celles de vos comptes en ligne étaient concernées, méfiez-vous des demandes de vérification inattendues et utilisez un mot de passe unique pour chaque compte.