Fuite de données chez Radiology Associates of Richmond (2025)

Les types de données confirmés dans cette affaire sont le prénom, le nom de famille, le numéro de sécurité sociale de certaines personnes et les informations de santé protégées. L'avis public de l'organisme ne détaillant pas tous les types de données, cette fiche ne retient que les champs explicitement étayés. Les informations de santé protégées peuvent comprendre des données sensibles liées aux prestations de radiologie, au parcours d'imagerie, à la relation de soins avec le patient, aux examens ou aux antécédents médicaux. Les personnes dont le numéro de sécurité sociale est concerné sont davantage exposées à l'usurpation d'identité, aux demandes frauduleuses, à l'utilisation abusive de leur dossier de crédit et aux fraudes ciblées. Les informations de santé peuvent servir à établir des factures frauduleuses, à détourner des documents d'information de l'assurance, à envoyer des notifications de prestations que la personne ne reconnaît pas ou à effectuer des communications trompeuses au nom du patient. Le simple fait d'associer un nom à un contexte de soins accroît déjà le risque de messages et d'appels personnalisés.

Le nombre confirmé de personnes concernées par l'incident de Radiology Associates of Richmond est de 266 183. Le 25 juillet 2025, date à laquelle l'accès non autorisé aurait eu lieu selon l'avis, a été retenu comme date de l'incident. La date de la première découverte n'étant pas clairement précisée dans l'avis public de l'établissement, le 6 avril 2026 a été retenu comme la date à laquelle l'examen des fichiers s'est achevé et où il a été établi que des données personnelles de santé pouvaient avoir été touchées. Le 21 mai 2026 correspond au début du processus de notification. Les types de données ne sont pas les mêmes pour toutes les personnes concernées : le numéro de sécurité sociale n'est présent que pour les personnes dont le dossier contient ce champ. Le nombre d'enregistrements internes n'a pas été augmenté au-delà du total officiel de personnes concernées, car aucun volume distinct de lignes de données divulguées n'a été confirmé. Cette fiche ne couvre pas les autres incidents ayant touché RAR au cours des années précédentes.

Les personnes les plus exposées sont les patients actuels et anciens qui ont eu recours à Radiology Associates of Richmond pour des prestations de radiologie ou d'imagerie, un examen, une orientation vers un professionnel de santé, une facturation, une autorisation de prise en charge par l'assurance ou une évaluation médicale. Les personnes dont le numéro de sécurité sociale est concerné doivent en priorité tenir compte des risques liés à leur dossier de crédit et à la vérification de leur identité. Les personnes dont les informations de santé sont concernées doivent vérifier régulièrement les documents d'information de l'assurance pour repérer toute prestation d'imagerie, tout acte clinique, prestataire, dette, paiement, facture ou demande de remboursement qu'elles ne reconnaissent pas. Les données relatives à la relation de soins pourraient permettre à des attaquants de rédiger des messages qui s'adressent à la personne par son nom et semblent correspondre à son véritable historique médical. Il est donc nécessaire de surveiller non seulement les comptes financiers, mais aussi l'activité des comptes d'assurance maladie et des portails patients.

Les personnes pour lesquelles une correspondance est détectée dans cette violation de données doivent d'abord vérifier les champs concernés dans la lettre de notification officielle qu'elles reçoivent. Si un numéro de sécurité sociale est mentionné, elles doivent examiner leurs rapports de crédit et engager sans délai une procédure de contestation si elles détectent l'ouverture d'un compte ou une consultation de leur dossier de crédit qu'elles ne reconnaissent pas. Si nécessaire, elles doivent envisager un gel du crédit ou la mise en place d'une alerte à la fraude. Les personnes dont les informations de santé protégées peuvent avoir été touchées doivent consulter régulièrement leurs comptes patients et les documents d'information de leur assurance. Si elles constatent des prestations qu'elles n'ont pas reçues ou des factures qu'elles ne reconnaissent pas, elles doivent contacter l'établissement concerné par des canaux de communication connus. En cas de message inattendu portant sur la radiologie, un paiement, l'assurance ou un rendez-vous, il faut vérifier l'identité de l'expéditeur avant de cliquer sur le lien.

Le risque associé à ce type d'incident impliquant des données de santé ne se limite pas au mot de passe d'un seul compte et nécessite une surveillance à long terme. Les personnes concernées doivent vérifier périodiquement leurs dossiers de crédit, maintenir activées les notifications de leurs portails patients et de leurs comptes d'assurance maladie, et conserver les notifications de prestations médicales ou de dettes qu'elles ne reconnaissent pas. Lorsqu'une personne appelle au nom d'un prestataire de soins, d'une compagnie d'assurance ou d'un service de recouvrement pour demander des renseignements sur l'identité, un paiement ou la santé, il convient de rappeler directement l'organisme à un numéro connu. Les personnes dont le numéro de sécurité sociale est concerné doivent garder à l'esprit qu'il s'agit d'un identifiant qui ne peut pas être modifié et continuer, au cours des mois suivants, à surveiller les notifications relatives au crédit, à la fiscalité, à l'assurance et aux soins de santé. Les documents contenant des informations de santé doivent être conservés en lieu sûr et ne pas être partagés par des canaux qui ne sont pas nécessaires.

Une correspondance détectée sur LeakData lors d'une vérification de la violation de données de Radiology Associates of Richmond (2025) indique que la personne pourrait figurer parmi les enregistrements associés à cet incident de 2025. Les personnes pour lesquelles une correspondance est détectée ne doivent pas se contenter de changer leur mot de passe : elles doivent évaluer conjointement les risques liés à l'identité, au crédit, à l'assurance maladie et au dossier patient. L'absence de correspondance ne signifie pas une absence totale de risque : certaines personnes peuvent avoir reçu une notification par courrier, ou la recherche de correspondances peut ne pas couvrir l'ensemble des données de la personne. Il est recommandé aux personnes ayant déjà reçu des prestations d'imagerie ou de radiologie dans cet établissement de conserver leurs lettres de notification, de documenter toute activité suspecte liée à leur santé ou à leurs finances et de transmettre ces éléments à l'établissement. Elles doivent également éviter de saisir des informations personnelles sur des pages ouvertes à partir de liens inattendus. Cette fiche se limite au nombre confirmé de personnes concernées et aux types de données clairement étayés.