Violation de données de Pivot Health en 2026

La source principale est l’avis relatif à un incident de confidentialité des données publié par Pivot Health au format PDF. Il confirme la découverte du 13 mars, la période d’accès à AWS du 26 février au 13 mars, la consultation ou la copie d’informations, l’enquête menée avec des spécialistes externes de l’investigation numérique, les catégories de données concernées et la ligne d’assistance dédiée au 844-593-8519.

La deuxième source est le tableau officiel des violations de données de juin 2026 du procureur général de l’Indiana. La ligne consacrée à Pivot Health indique une date de notification au 13 mai 2026, un début d’incident au 26 février et 8 391 personnes touchées à l’échelle nationale. L’entrée du Bureau des droits civils du HHS, qui concerne 5 864 personnes, confirme indépendamment le périmètre antérieur par un autre canal réglementaire.

Pivot Health a détecté une activité suspecte dans son environnement cloud AWS vers le 13 mars, a sécurisé ses systèmes et a fait appel à des spécialistes externes de l’investigation numérique pour examiner la nature et l’étendue des accès. L’enquête a établi que la personne non autorisée avait accédé à l’environnement AWS à plusieurs reprises au cours de cette période d’environ deux semaines.

Le fournisseur a explicitement indiqué que certaines informations avaient été consultées ou copiées par la personne non identifiée. Il a ensuite procédé à un examen complet afin d’identifier les données à risque, leurs catégories et les personnes concernées, puis a envoyé des courriers à ces dernières. Le document public ne précise ni la méthode d’accès initiale, ni les identifiants utilisés, ni la vulnérabilité technique.

Les champs concernés, qui variaient selon les personnes, comprenaient les noms, les dates de naissance et les informations relatives à l’assurance santé. Les données d’assurance incluaient des informations de facturation et de paiement; les exemples de numéros d’identification cités étaient les identifiants de membre, de personne, de certificat et de couverture. Les dates de couverture d’assurance figuraient également dans les fichiers concernés.

Ces champs peuvent rendre plus crédibles de faux messages concernant une police d’assurance, une cotisation, une demande de remboursement, une facture ou une adhésion. Un message n’est pas fiable simplement parce qu’il contient un véritable numéro de membre ou une date de couverture. Utilisez le site connu de votre assureur ou le numéro figurant sur votre carte d’assurance pour vérifier séparément les demandes de remboursement, les paiements et les modifications des coordonnées.

Pivot Health indique que des informations sur des comptes financiers étaient présentes pour certaines personnes. L’avis public ne précise pas s’il s’agissait d’un numéro de compte bancaire, d’un numéro d’acheminement bancaire, d’une carte de paiement ou d’un autre type de données financières. Cette fiche ne retient donc que la catégorie générale « informations sur des comptes financiers », sans déduire de détails non communiqués.

Si votre courrier mentionne un champ relatif à un compte financier, vous pouvez vérifier les opérations que vous ne reconnaissez pas, les nouveaux bénéficiaires, les paiements automatiques et les modifications des coordonnées en passant par un canal connu de votre établissement. Pivot Health a déclaré n’avoir connaissance d’aucune usurpation d’identité ni fraude résultant de cet incident; cette déclaration décrit la situation à la date de l’avis et ne rend pas la surveillance inutile.

L’entrée HHS/OCR contient une notification dans le secteur de la santé concernant 5 864 personnes, datée du 13 mai 2026. Le tableau ultérieur de juin du procureur général de l’Indiana indique 8 391 personnes à l’échelle nationale pour la même entité et la même date de début d’incident. Il s’agit de périmètres de notification successifs, et non de deux incidents distincts ou de deux populations à additionner.

Le nombre de personnes ou d’enregistrements touchés publié par la source officielle représente l’étendue déclarée de l’incident. Cela ne signifie pas que toutes les catégories de données mentionnées concernaient chaque personne. Les nombres de résidents signalés au Texas, en Indiana ou dans d’autres États sont des sous-ensembles du total national et ne doivent pas être ajoutés une seconde fois.

Pivot Health a déclaré avoir sécurisé ses systèmes après la détection de l’activité, ouvert une enquête d’investigation numérique pour confirmer la nature et l’étendue de l’incident, réexaminé ses politiques de sécurité existantes et mis en place des mesures de cybersécurité supplémentaires. Le numéro indiqué pour toute question est le 844-593-8519, joignable en semaine de 8:00 du matin à 8:00 du soir, heure de l’Est.

Appuyez-vous sur les champs mentionnés dans votre propre courrier : pour les données d’assurance ou de couverture, surveillez les prestations, les demandes de remboursement et les factures; pour les données de comptes financiers, surveillez les opérations. Ne transmettez ni mot de passe, ni informations sur un compte financier, ni paiement, ni code à usage unique en réponse à un message inattendu utilisant le nom de Pivot Health ou de votre assureur.