Violation de données chez Restorix Health en 2024

L’avis officiel de Restorix relie à un même événement la période d’accès, les dates de découverte et d’examen, les catégories d’informations divulguées et les mesures prises par l’organisation. La fiche du HHS OCR confirme l’identité de Restorix Health, son statut de partenaire commercial dans le secteur de la santé, le fait que l’incident concernait la messagerie électronique et le total actuel de 38 553 personnes.

Un récapitulatif indépendant de l’événement, qui suit les déclarations déposées auprès des États, corrobore également la période d’accès du 7 au 29 mai, l’étape d’examen des données du 27 novembre 2024, la notification aux partenaires de santé le 18 décembre et l’envoi des notifications individuelles à partir du 14 février 2025. Les catégories de données divulguées variaient selon les personnes; le total de 38 553 ne signifie pas que toutes les catégories concernaient chaque personne.

Un tiers a accédé sans autorisation au compte de messagerie d’un employé de Restorix entre le 7 et le 29 mai. Restorix indique avoir pris connaissance de cet accès le 30 mai ou aux alentours de cette date, avoir sécurisé le compte et avoir fait appel à des spécialistes pour déterminer la nature et l’étendue de l’incident.

Une enquête approfondie et un examen des documents ont permis d’établir, le 27 novembre, que le compte concerné contenait des informations personnelles ou des informations de santé protégées relatives à des personnes liées aux partenaires de santé. Les sources publiques ne précisent ni comment le compte a été compromis, ni la faiblesse technique exploitée, ni l’identité du responsable.

Selon les personnes, les informations potentiellement concernées comprenaient les prénoms et noms, les dates de naissance, les numéros de permis de conduire, d’autres numéros de pièces d’identité délivrées par les autorités, les numéros de passeport et les numéros de sécurité sociale. Les identifiants de patients ainsi que les numéros de certificat ou de licence figuraient également dans l’avis officiel.

Les données de santé ont pu comprendre des informations médicales et relatives aux prescriptions, des dates de prestations, des affections, des traitements ou des diagnostics, ainsi que des informations d’assurance maladie. Les comptes financiers, les cartes de paiement, les mots de passe et les adresses e-mail des destinataires des notifications ne sont pas inclus dans cette liste, car l’avis officiel ne les mentionne pas.

Des numéros d’identification associés à des données de patients et à des informations de santé peuvent faciliter l’usurpation d’identité, la fraude dans le secteur de la santé ou l’envoi de messages ciblés convaincants. Les numéros de sécurité sociale, de passeport et de pièces d’identité officielles ne peuvent pas être changés facilement; une surveillance sur une longue période peut donc être appropriée.

Une personne qui connaît un traitement, une prescription, une date de prestation ou un détail d’assurance réels peut formuler une demande plus convaincante en prétendant représenter Restorix, un hôpital, une clinique ou un assureur. Le fait de détenir ces informations ne prouve pas qu’elle est habilitée à le faire, et toute demande inattendue doit être vérifiée par un canal indépendant.

Restorix a sécurisé le compte concerné, fait appel à des spécialistes externes de l’investigation numérique et procédé à un examen manuel des documents pour identifier les informations en cause. Les partenaires de santé ont été informés le 18 décembre 2024, et l’envoi des notifications aux personnes pour lesquelles une adresse postale était disponible a commencé le 14 février 2025.

L’organisation indique avoir mis en place des mesures de protection supplémentaires en matière de cybersécurité, renforcé la formation des employés et réexaminé ses politiques et procédures. Le compte rendu officiel ne qualifie pas l’événement d’attaque par rançongiciel, ne désigne aucun responsable précis et ne fait état d’aucune utilisation abusive connue des informations divulguées.

Si vous avez reçu une notification, examinez régulièrement vos comptes financiers, vos rapports de crédit et vos décomptes d’assurance maladie afin de repérer des comptes, des transactions, des prestations ou des demandes de remboursement que vous ne reconnaissez pas. Signalez toute activité suspecte à l’établissement financier, au prestataire de soins et à l’assureur concernés, ainsi qu’aux autorités lorsque cela est approprié.

Ne communiquez pas de numéro de sécurité sociale, d’informations de patient, de mot de passe ou de code de vérification à usage unique en réponse à un e-mail, un message ou un appel inattendu. Si une demande prétend provenir de Restorix ou d’un organisme de santé, vérifiez-la en utilisant les coordonnées figurant sur le site officiel, plutôt que les liens ou les numéros indiqués dans le message.