Violation de données chez Palomar Health Medical Group en 2024

La principale pièce justificative est le document PDF de PHMG intitulé « Avis relatif à un incident de données », daté du 3 juillet 2024 et hébergé sur son propre domaine. Publié alors que l’enquête se poursuivait, il précise la période d’accès non autorisé, indique que des fichiers ont peut-être été copiés et signale que certains fichiers pouvaient être devenus irrécupérables. L’organisation a également clairement déclaré qu’à ce stade, elle n’était pas encore en mesure d’identifier précisément les personnes et les informations concernées.

La deuxième source est la notification réémise et déposée auprès du procureur général de Californie le 15 octobre 2025. Elle confirme que l’examen des données s’est achevé le 4 septembre 2025 et a révélé que des informations relatives à des patients actuels et anciens pouvaient être concernées. La troisième source est la fiche HHS/OCR, qui fournit le nombre de 501 personnes déclaré au niveau fédéral, le type d’incident et sa localisation sur un serveur réseau.

La date retenue pour l’incident correspond à la première activité technique vérifiable à partir de sources publiques. Lorsque le premier avis en ligne a été publié le 3 juillet, l’examen des fichiers et l’identification des personnes concernées étaient encore en cours. C’est pourquoi cette annonce ne fournissait pas de nombre définitif de personnes touchées.

PHMG a achevé son examen complet des fichiers le 4 septembre 2025. L’organisation a réémis l’avis le 15 octobre afin de joindre les personnes qui ne l’avaient peut-être pas reçu auparavant et de rappeler l’événement de 2024. La date de dépôt du 8 mai 2026 indiquée sur la fiche HHS/OCR ne signifie pas qu’une nouvelle cyberattaque a eu lieu : la fiche fédérale et les documents de l’organisation renvoient à la même période d’accès, en avril-mai 2024.

L’avis actualisé de l’organisation indique que les données concernées varient selon les personnes. Les catégories d’informations d’identité et financières répertoriées comprennent le nom, l’adresse, la date de naissance, le numéro de sécurité sociale, le permis de conduire, la pièce d’identité délivrée par un État, la pièce d’identité militaire, le passeport et le numéro d’enregistrement des étrangers aux États-Unis. Les informations relatives aux comptes financiers, aux cartes de paiement et aux comptes d’épargne santé font également partie des données potentiellement concernées.

Les catégories relatives à la santé et aux comptes comprennent les antécédents médicaux, les informations de diagnostic et de traitement, les données biométriques, le numéro de dossier médical, l’identifiant Medicare ou Medicaid, le numéro de compte patient et les informations d’assurance maladie. Les combinaisons d’adresse e-mail et de mot de passe, ainsi que de nom d’utilisateur et de mot de passe, sont également répertoriées. Cette liste ne démontre pas que chaque champ concernait les 501 personnes; la lettre de notification individuelle constitue la meilleure source pour connaître les catégories applicables à son destinataire.

501 est le nombre de personnes concernées indiqué pour Palomar Health Medical Group dans le tableau fédéral public des violations de données HHS/OCR. Le nombre de personnes ou d’enregistrements concernés publié par la source officielle correspond à l’étendue déclarée de l’incident. Il ne signifie pas que chaque catégorie de données divulguée concernait chaque personne. Toutefois, l’avertissement général adressé par PHMG à tous ses patients en juillet 2024 a été émis avant la fin de l’examen individuel. Le nombre de 501 ne doit donc être interprété ni comme le nombre total de personnes ayant vu l’avis général, ni comme l’effectif total des patients de l’organisation.

Ces indicateurs répondent à des questions différentes et ne doivent pas être utilisés les uns à la place des autres.

Les combinaisons d’adresse e-mail et de mot de passe peuvent servir à des attaques par bourrage d’identifiants lorsque le même mot de passe a été réutilisé ailleurs. Les mots de passe utilisés pour PHMG ou les portails de santé associés doivent être uniques. Changez en priorité les identifiants réutilisés pour vos comptes de messagerie et vos comptes financiers. Activez l’authentification multifacteur. Accédez à vos comptes en utilisant des adresses connues plutôt que les liens contenus dans des messages inattendus concernant une réinitialisation de mot de passe, une carte de paiement ou un compte de santé.

La combinaison d’informations de sécurité sociale, de pièces d’identité officielles et de comptes financiers peut faciliter l’ouverture frauduleuse de nouveaux comptes. Les données d’assurance, de compte patient, de diagnostic et de traitement peuvent, quant à elles, permettre une usurpation d’identité médicale. Consultez vos rapports de crédit, vérifiez l’activité de vos comptes bancaires et de vos cartes, ainsi que les relevés de prestations de votre assurance. Signalez tout prestataire de soins, service, demande de remboursement ou facture que vous ne reconnaissez pas à votre assureur et à l’organisme de soins, par leurs canaux officiels.

PHMG a déclaré avoir enquêté sur l’événement, pris des mesures pour sécuriser l’environnement réseau, informé les forces de l’ordre et les autorités de régulation compétentes, et renforcé les protocoles de sécurité existants. Ses déclarations publiques initiales et actualisées indiquent que l’organisation n’avait constaté aucun élément attestant une utilisation abusive, effective ou tentée, en lien avec l’événement. Cette déclaration ne garantit pas qu’une utilisation abusive ne puisse jamais survenir ultérieurement.

Si vous avez reçu une lettre individuelle de PHMG, référez-vous à cette lettre pour connaître les catégories de données concernées dans votre cas et les éventuelles options de protection proposées par l’organisation. Si vous n’avez pas reçu de lettre mais avez encore des questions, utilisez le canal de contact officiel actuel de PHMG. Une page consacrée à un incident sur LeakData ne signifie pas, à elle seule, que la personne qui la consulte fait partie des personnes concernées; elle documente l’incident vérifié et les précautions pratiques à prendre. Conservez tout élément attestant une usurpation d’identité ou une utilisation abusive de données médicales et signalez-le rapidement aux institutions compétentes.