Violation de données chez PIH Health en 2024

PIH Health a détecté l’attaque perturbant ses activités le 1er décembre 2024 et a lancé un examen avec des spécialistes de l’investigation numérique. Vers le 16 décembre 2025, l’organisation a établi que des fichiers situés dans les parties compromises de son réseau contenaient des informations sur les patients et que l’attaquant avait pu les consulter ou les récupérer. Ce constat et le signalement auprès du HHS établissent qu’il s’agissait d’une violation de données personnelles.

HHS OCR classe l’événement dans la catégorie « Piratage/incident informatique », indique « Serveur réseau » comme emplacement des informations et « Prestataire de soins de santé » comme type d’entité. HIPAA Journal a examiné la déclaration actualisée de PIH Health, le registre réglementaire et la chronologie de l’attaque, corroborant un périmètre de près de 2,95 millions de patients. Les sources concordent sur le fait que, au-delà de l’indisponibilité des systèmes, l’événement a touché des informations personnelles et des informations de santé protégées.

Les conclusions de l’investigation numérique situent la présence de l’attaquant dans le réseau de PIH Health du 14 novembre au 23 décembre 2024. La date de l’incident repose sur la première activité technique vérifiable à partir de sources publiques. L’attaque détectée le 1er décembre a perturbé certains systèmes informatiques et certaines lignes téléphoniques; le personnel soignant a appliqué les procédures prévues en cas d’indisponibilité des systèmes et utilisé des dossiers manuels pour poursuivre les soins.

L’examen détaillé des fichiers concernés et l’établissement de la liste des personnes touchées ont pris environ un an. Après avoir identifié l’ensemble des personnes concernées en décembre 2025, PIH Health a recueilli leurs coordonnées et commencé à les informer. La ligne du registre HHS conserve le 31 janvier 2025 comme date de soumission initiale, tandis que le nombre de 2 947 264 personnes désormais affiché reflète l’examen ultérieur du périmètre.

PIH Health a indiqué que les types d’informations variaient selon les personnes. Outre les noms et les adresses postales, les fichiers pouvaient contenir des numéros de sécurité sociale et des numéros d’identification fiscale. Les numéros de permis de conduire figuraient également parmi les champs d’identification divulgués. Cette combinaison accroît les risques d’usurpation d’identité, de fraude fiscale et de fraude à l’ouverture de nouveaux comptes.

Des informations médicales et d’assurance maladie étaient concernées. Des informations relatives à des comptes financiers et des numéros de carte de crédit ou de débit étaient également présents dans certains fichiers. Les sources n’indiquent pas que chaque champ figurait dans les données des 2 947 264 personnes; les mots de passe, le contenu des courriels et l’ensemble des champs détaillés relatifs aux traitements mentionnés par l’attaquant ne sont pas inclus dans le périmètre général confirmé par l’organisation.

La liste des enquêtes en cours de HHS OCR comporte une ligne au nom de PIH Health Inc. indiquant 2 947 264 personnes. Ce chiffre correspond à la population concernée, établie après l’examen des données par l’organisation. Le nombre de personnes ou de dossiers concernés publié par la source officielle correspond au périmètre déclaré de l’incident. Cela ne signifie pas que toutes les catégories de données divulguées concernaient chaque personne.

Le chiffre du HHS représente des personnes concernées, et non des fichiers volés ou des lignes de base de données. Un même patient peut avoir plusieurs dossiers médicaux; le nombre de dossiers n’est donc pas nécessairement égal au nombre de personnes.

L’attaquant, dont l’identité n’est pas connue publiquement, a affirmé avoir dérobé environ 2 TB de données et 17 millions de dossiers de patients, a formulé une demande de rançon et a publié quelques échantillons en ligne. Ses affirmations portaient sur des épisodes de soins, des dossiers de traitement du cancer, des courriels privés et des documents de l’organisation. PIH Health avait initialement déclaré ne pas pouvoir vérifier l’authenticité du message de rançon ni les affirmations de vol de données.

Le total de 2 947 264 personnes publié ultérieurement par le HHS indique que l’affirmation portant sur 17 millions de dossiers ne correspondait pas à autant de patients distincts ou qu’elle était exagérée. Le nombre de personnes ou de dossiers concernés publié par la source officielle correspond au périmètre déclaré de l’incident. Cela ne signifie pas que toutes les catégories de données divulguées concernaient chaque personne. Cette fiche s’appuie sur le total du registre réglementaire et sur les catégories d’informations confirmées par l’organisation.

PIH Health a déclaré n’avoir trouvé, au moment de l’envoi des notifications, aucune preuve d’utilisation abusive ou de tentative d’utilisation abusive des informations concernées. L’organisation a proposé gratuitement une surveillance du crédit et une protection contre l’usurpation d’identité. Si vous avez reçu une notification, vérifiez vos rapports de crédit, vos comptes fiscaux et vos opérations financières, et envisagez un gel de votre dossier de crédit si votre numéro de sécurité sociale était concerné.

Si vous repérez des prestations, des prestataires ou des demandes de remboursement que vous ne reconnaissez pas dans vos relevés médicaux ou d’assurance, signalez-les par les canaux officiels de PIH Health et de votre organisme d’assurance maladie dédiés à la protection des données personnelles. Si les informations de votre carte ou de votre compte sont concernées, vous pouvez discuter de leur remplacement et d’une surveillance renforcée avec votre établissement financier.