Violation de données chez QualDerm Partners en 2025

QualDerm a déclaré qu’une activité non autorisée avait été détectée sur son réseau informatique et que l’accès avait duré du 23 au 24 décembre 2025. L’enquête technique a établi que des fichiers contenant des informations sensibles avaient été exfiltrés pendant cette courte période. Cette fiche repose donc sur une extraction de données confirmée par l’organisation, et non sur la seule hypothèse que des données auraient pu être consultées.

Le HHS OCR classe l’événement comme un incident de piratage ou d’atteinte aux systèmes informatiques, indique un serveur réseau comme emplacement touché et un prestataire de soins de santé comme type d’entité. HIPAA Journal a examiné conjointement l’avis de l’entreprise, la déclaration déposée auprès de l’autorité de régulation de l’Oregon et la fiche du HHS, corroborant ainsi la chronologie, les catégories de données et le nombre de personnes concernées, qui se chiffre en plusieurs millions. Leurs constats concordants établissent la réalité de l’accès au réseau, de l’exfiltration et de l’exposition d’informations sur les patients.

L’accès vérifié a commencé le 23 décembre 2025 et a pris fin lorsque QualDerm a découvert une activité inhabituelle le 24 décembre. La date retenue pour l’incident correspond à la première activité technique vérifiable à partir des sources publiques. L’organisation a ensuite sécurisé son réseau et ses systèmes informatiques, puis travaillé avec des spécialistes externes pour déterminer la nature et l’ampleur de l’incident.

QualDerm a déclaré que l’examen des fichiers se poursuivait et que les notifications seraient envoyées par courrier au fur et à mesure afin d’éviter tout retard inutile. Le premier chiffre public concernait 174 837 résidents du Texas, puis les sources de l’Oregon et du HHS ont indiqué un total de 3 117 874. Le nombre de 3 433 965 personnes actuellement affiché par le HHS est plus récent : les anciens chiffres intermédiaires ne lui sont donc pas ajoutés.

Selon les personnes, les données concernées peuvent comprendre les noms, les adresses e-mail, les dates de naissance et les dates de décès. Les noms des médecins et les numéros de dossier médical figuraient également parmi les données déclarées. La présence de diagnostics, d’informations sur les traitements et de données d’assurance maladie montre que l’incident a touché des informations de santé protégées, en plus des données d’identité.

QualDerm a déclaré que des informations figurant sur des documents d’identité délivrés par les autorités, telles que les numéros de permis de conduire, pouvaient également avoir été concernées pour un très petit groupe de personnes. Les sources ne mentionnent pas les numéros de sécurité sociale, les cartes de paiement, les comptes bancaires ou les mots de passe de comptes parmi les données dont l’exposition est confirmée. Cette fiche reprend donc uniquement les catégories publiées et ne les attribue pas toutes à chaque personne.

La liste des enquêtes en cours du HHS OCR indique actuellement 3 433 965 personnes sur la ligne de QualDerm Partners LLC, soumise le 22 février 2026. Ce chiffre actualise le précédent total de 3 117 874 communiqué aux autorités et repris dans la presse. Le nombre de personnes ou d’enregistrements concernés publié par la source officielle correspond à l’ampleur déclarée de l’incident. Cela ne signifie pas que toutes les catégories de données divulguées concernaient chaque personne.

QualDerm avait indiqué fournir ses services à 158 cabinets de dermatologie et de soins cutanés dans 17 États, au sein d’un réseau accueillant plus de 15 millions de patients par an. Cette échelle d’activité ne correspond pas au nombre de personnes touchées par la violation. LeakData ne retient pas une estimation de 15 millions, n’invente pas de chiffres par cabinet et ne dépasse pas le total vérifié de 3 433 965 personnes notifié au HHS.

Lors de la divulgation de l’incident, QualDerm a déclaré ne pas avoir relevé de preuve d’un usage abusif des données des patients et a proposé aux personnes concernées une surveillance gratuite du crédit ainsi qu’une protection contre l’usurpation d’identité. L’absence d’usage abusif connu ne remet pas en cause l’exfiltration confirmée et n’élimine pas le risque de fraude future. L’organisation a également déclaré qu’elle réexaminait ses politiques, procédures et protocoles de sécurité des données.

Les sources publiques ne confirment ni l’identité de l’attaquant, ni la méthode d’intrusion initiale, ni l’existence d’une demande de rançon, ni le volume de fichiers. LeakData n’associe donc pas l’incident à un groupe particulier utilisant des rançongiciels et n’invente pas de cause initiale telle que l’hameçonnage, le vol d’identifiants ou une vulnérabilité. Cette fiche se limite à l’accès au réseau confirmé, à l’exfiltration de fichiers et aux catégories d’informations divulguées.

Si vous recevez une notification, vérifiez dans vos propres dossiers que le cabinet de dermatologie et le médecin mentionnés correspondent bien à ceux qui vous ont pris en charge. Tout diagnostic, traitement, prestataire de soins ou demande de remboursement que vous ne reconnaissez pas dans vos relevés médicaux doit être signalé par les canaux officiels de votre assurance maladie et du cabinet dédiés à la confidentialité. Vérifiez de manière indépendante l’authenticité de tout message vous demandant un numéro de dossier médical ou un document d’identité avant d’ouvrir un lien.

Si vous faites partie du petit groupe de personnes dont les données figurant sur des documents d’identité délivrés par les autorités ont été touchées, vous pouvez demander à l’organisme émetteur quelles mesures de protection supplémentaires ou possibilités de remplacement sont disponibles. Vérifiez également la date limite de l’offre de surveillance.