Violation de données chez Outcomes One (257 481 personnes touchées)

L’incident a été détecté le 1er juillet 2025, lorsqu’un employé a remarqué une activité suspecte sur un compte de messagerie. L’équipe de sécurité d’Outcomes a sécurisé le compte et ouvert une enquête avec des spécialistes externes en cybersécurité.

L’accès non autorisé a duré environ une heure et s’est limité à un seul compte de messagerie. Certains courriels et fichiers ont été consultés pendant cette période; aucun autre compte de messagerie n’a été identifié comme concerné.

Le 17 juillet 2025, Outcomes a établi qu’un élément susceptible d’avoir été consulté contenait des noms et, selon les personnes, des données démographiques, des noms de prestataires de soins, des informations relatives à l’assurance maladie ou aux médicaments.

La notification d’Outcomes précise explicitement que les numéros de sécurité sociale n’étaient pas concernés. Cela ne signifie pas que toutes les catégories de données énumérées étaient présentes pour chaque personne touchée.

Le registre HHS des violations de données dans le secteur de la santé et une synthèse indépendante de l’incident font état de 257 481 personnes touchées. Le chiffre de 256 031 communiqué par le procureur général du Texas correspond à un périmètre de notification aux autorités de contrôle plus restreint; le chiffre du HHS est retenu pour le total national.

Les informations sur l’assurance maladie, les médicaments et les prestataires de soins peuvent aider un attaquant à créer des messages ciblés qui semblent faire référence à une véritable couverture d’assurance maladie ou à une relation de soins existante.

Un attaquant peut invoquer un renouvellement d’ordonnance, une couverture d’assurance ou un paiement de soins pour demander des informations personnelles ou des coordonnées de paiement. La présence de renseignements de santé exacts dans un message ne prouve pas que son expéditeur est autorisé à vous contacter.

Outcomes a sécurisé le compte concerné, mené une enquête avec des spécialistes externes et déclaré avoir mis en place des protections supplémentaires pour la messagerie ainsi qu’une formation des employés à la prévention de l’hameçonnage.

L’entreprise a commencé à informer les propriétaires des données le 25 juillet et à envoyer des notifications individuelles par courrier le 23 septembre 2025. Une ligne téléphonique dédiée à l’incident a été mise en place pour répondre aux questions.

Si vous avez reçu une notification, vous pouvez examiner les relevés de votre assurance maladie, vos historiques d’ordonnances et vos factures médicales pour repérer toute activité que vous ne reconnaissez pas. Si vous constatez une prestation dont vous n’avez pas bénéficié ou un médicament que vous n’avez pas reçu, vous pouvez contacter directement votre organisme d’assurance maladie.

Si vous recevez un message inattendu prétendant provenir d’Outcomes, d’Aetna, d’une pharmacie ou d’un professionnel de santé, utilisez le canal de contact officiel de l’organisation avant de suivre un lien. Ne communiquez ni mot de passe, ni coordonnées de paiement, ni code de vérification.