Violation de données chez OSC Connecticut en 2025

L’avis officiel archivé d’Orthopaedic Specialists of Connecticut rattache à un même événement l’accès au réseau du 2 mars, la réponse engagée le jour même et les catégories de données mentionnées. L’entrée du HHS OCR confirme l’identité du prestataire de soins de santé du Connecticut, la date du signalement, le 23 avril 2025, et le total de 22 541 personnes.

Un compte rendu indépendant de l’incident corrobore l’identité de l’organisme, la date de l’événement, le nombre de personnes et les catégories de données. La date de l’accès initial, l’achèvement de l’analyse du périmètre de l’incident en avril et l’avis aux consommateurs du 23 avril correspondent à des étapes distinctes; elles ne sont pas regroupées sous une seule date de publication.

Un tiers non autorisé a accédé à l’environnement réseau d’OSC le 2 mars. Après avoir détecté l’incident, l’organisme a sécurisé son réseau et fait appel à une société spécialisée dans l’investigation informatique et la réponse aux incidents pour déterminer l’étendue des activités non autorisées.

L’enquête a conclu que l’intrus avait pu obtenir certaines données. L’avis public ne précise ni la méthode d’accès initial, ni la faille technique exploitée, ni la durée de l’accès au cours de cette journée. Cette fiche ne présente donc aucune méthode d’attaque non confirmée.

Selon les personnes, les informations potentiellement concernées comprenaient les prénoms et noms, les dates de naissance, les numéros de sécurité sociale, les numéros d’identification d’assurance maladie et les informations médicales. L’avis officiel mentionne expressément ces catégories comme ayant pu être exposées.

L’organisme indique que les catégories de données concernées variaient d’une personne à l’autre. Les adresses e-mail, les mots de passe, les adresses postales, les cartes de paiement et les comptes financiers ne sont pas inclus dans cette fiche, car l’avis officiel relatif à l’incident ne confirme pas que ces catégories étaient concernées.

L’exposition de numéros de sécurité sociale, associée à celle de données d’assurance maladie et d’informations médicales, peut accroître le risque d’usurpation d’identité, de demandes frauduleuses de remboursement de soins ou de fraude à l’assurance. Certains de ces identifiants sont difficiles à modifier, ce qui justifie une surveillance à long terme.

Une personne connaissant un détail réel sur un traitement ou une assurance peut rédiger un message plus convaincant en prétendant représenter OSC, un médecin ou un assureur. La possession de ces informations ne prouve pas qu’elle est habilitée à agir en leur nom, et toute demande inattendue doit être vérifiée par un canal indépendant.

OSC a sécurisé son réseau, travaillé avec des spécialistes externes de l’investigation informatique et déclaré avoir examiné et renforcé ses mesures de protection techniques. Après avoir terminé l’analyse du périmètre de l’incident, l’organisme a envoyé des avis écrits aux personnes dont les informations pourraient avoir été concernées.

L’organisme a proposé aux personnes éligibles 12 mois de surveillance gratuite du crédit et de protection contre l’usurpation d’identité. Dans son avis du 23 avril, il indiquait n’avoir reçu aucun signalement d’utilisation abusive des données ni d’usurpation d’identité liée à l’incident. Cette déclaration ne garantit pas qu’une utilisation abusive ne se produira pas ultérieurement.

Les destinataires de l’avis devraient examiner régulièrement leurs rapports de crédit, leurs comptes financiers et leurs relevés de prestations d’assurance maladie afin de repérer des comptes, des transactions, des services ou des demandes de remboursement qu’ils ne reconnaissent pas. Toute entrée suspecte doit être signalée à l’établissement financier, au prestataire de soins de santé ou à l’assureur concerné.

Ne communiquez pas de numéro de sécurité sociale, d’informations de santé, de mot de passe ou de code de vérification à usage unique en réponse à un e-mail, un message ou un appel inattendu. Vérifiez toute demande présentée comme provenant d’OSC à l’aide des coordonnées figurant sur le site officiel de l’organisme, plutôt qu’en utilisant les liens ou les numéros fournis dans le message.