Violation de données de ParkTree Community Health Center en 2024

La source principale est la lettre d’information aux consommateurs du 21 août 2024, figurant dans le dossier SB24-590522 du procureur général de Californie. Elle confirme l’exposition du 7 février, les champs de données concernés, les améliorations apportées à la sécurité, la mise à disposition d’une ligne d’assistance et l’exclusion des SSNs et des données relatives au permis de conduire. La signature désigne le prestataire comme Pomona Community Health Center dba ParkTree Community Health Center.

La seconde source est l’entrée officielle du HHS/OCR datée du 21 août 2024. Elle indique 40 964 personnes, un prestataire de soins, un piratage/incident informatique et un serveur réseau. Source publique sur la fuite de données fournit un lien vers le document déposé en Californie, mais le titre de cette source secondaire évoquant les SSN et son récit situant l’événement au 1er février contredisent la lettre officielle. Cette fiche donne la priorité au document réglementaire de première main.

Selon la lettre de notification individuelle de ParkTree, des données personnelles de santé ont pu être exposées à un tiers inconnu le 7 février. Le prestataire a déclaré avoir signalé l’événement aux autorités compétentes, pris des mesures pour renforcer la sécurité du réseau et réduire le risque de récidive, et réexaminer et mettre à jour ses politiques et procédures de sécurité selon les besoins.

La lettre publique n’explique pas comment la personne non autorisée a obtenu l’accès initial, quel compte ou quelle vulnérabilité a été utilisé, combien de temps l’accès a duré, ni s’il est établi que les données ont été téléchargées. Les informations non vérifiées sur le nombre de personnes et les champs de données, ainsi que les affirmations non vérifiées d’acteurs malveillants, ne sont pas retenues dans le périmètre public de l’incident.

Les principaux champs, qui variaient selon les personnes, étaient les prénoms et noms, les dates de naissance, les coordonnées et le genre. Les « coordonnées » constituent une catégorie générale dans la lettre; cette fiche ne suppose pas qu’une adresse, un numéro de téléphone ou une adresse e-mail spécifique était concerné pour chaque destinataire. La notification propre à chaque personne définit le périmètre qui lui est applicable.

La lettre officielle indique expressément que l’événement ne concernait pas les numéros de sécurité sociale ou de permis de conduire. Le titre d’une page web secondaire affirmant une exposition des SSN n’est donc pas retenu pour définir les catégories de données concernées. Cette fiche exclut les SSNs et les données d’identification officielles; les informations générales sur la protection du crédit jointes à la lettre ne redéfinissent pas le périmètre réel de l’incident.

Les données de santé comprenaient les numéros d’identification des régimes d’assurance santé, les numéros de dossier médical et des informations cliniques telles que les diagnostics, les médicaments et les notes du médecin. Ces données peuvent révéler des informations sur les traitements et l’assurance, et rendre plus convaincants des messages utilisant le nom d’un patient ou d’un prestataire. Cette fiche ne suppose pas que chaque personne était concernée par toutes les sous-catégories de données cliniques.

Si vous avez reçu une notification, vous pouvez examiner vos décomptes de prestations, l’activité de votre portail patient, les soins et médicaments que vous ne reconnaissez pas, ainsi que les communications de votre régime d’assurance santé. Même un message citant un véritable diagnostic, médicament ou commentaire du médecin n’est pas automatiquement légitime. Vérifiez-le en utilisant un numéro connu de ParkTree ou en ouvrant directement votre portail patient, plutôt qu’en passant par le message.

Le chiffre de 40 964 correspond au nombre de personnes concernées déclaré au HHS/OCR. Il s’agit d’un total public vérifié, qui peut être utilisé plutôt qu’un total nul ou une estimation non étayée. Le nombre de personnes concernées ou de dossiers publié par la source officielle représente le périmètre déclaré de l’incident. Il ne signifie pas que chaque catégorie de données mentionnée concernait chaque personne.

Tout nombre de résidents indiqué dans les notifications des États correspond à un sous-ensemble de la population concernée à l’échelle nationale et ne doit pas être ajouté une seconde fois. ParkTree et Pomona Community Health Center font l’objet d’une seule fiche, car la notification établit le lien entre leur dénomination légale et leur nom commercial (dba). La date de l’événement est le 7 février, selon la lettre officielle, et non le 1er février indiqué dans un résumé secondaire.

ParkTree a déclaré avoir signalé l’événement de sécurité aux autorités compétentes, renforcé la sécurité du réseau et mis à jour ses politiques et procédures. La lettre du 21 août 2024 indique le numéro 1-877-202-5507 pour les questions, avec des horaires en semaine de 9 h à 21 h, heure de l’Est. Si vous avez reçu une notification, vérifiez les disponibilités actuelles par un canal officiel du prestataire.

Si vous êtes concerné, vous pouvez surveiller l’activité de votre régime d’assurance santé et de votre compte patient en fonction des champs indiqués dans votre propre lettre, signaler les soins que vous ne reconnaissez pas et vérifier les messages inattendus par un autre canal. Ne communiquez pas de mot de passe, de numéro de régime d’assurance santé ou de code à usage unique, et n’effectuez aucun paiement dans le cadre d’un échange utilisant le nom de ParkTree, de votre régime d’assurance santé ou de votre médecin; utilisez plutôt un site ou un numéro de téléphone connu.