Violation de données chez Rocky Mountain Gastroenterology (366 491 personnes)

L’organisation a détecté une activité suspecte sur son réseau le 13 septembre 2024 et a ouvert une enquête pour en déterminer l’étendue. L’examen a révélé qu’un acteur malveillant avait obtenu un accès non autorisé à certains fichiers et pourrait les avoir copiés.

Les sources publiques ne précisent ni la date exacte de l’accès initial, ni la durée de présence de cet acteur sur le réseau, ni la méthode utilisée. Le 13 septembre correspond donc à la date de détection, et non à une date annoncée de début de l’intrusion. L’identité de l’acteur et l’éventuelle vulnérabilité exploitée n’ont pas non plus été confirmées.

Les informations variaient selon les personnes. Les catégories de données signalées comprenaient les noms, les adresses, les dates de naissance, les numéros de compte patient, les numéros de dossier médical, les numéros de sécurité sociale et les numéros d’identification d’assurance santé.

Les fichiers concernés pouvaient également contenir des informations sur les diagnostics et les traitements. Toutes les catégories ne concernaient pas chaque patient : les destinataires doivent donc se référer aux types de données mentionnés dans leur notification individuelle.

La liste des violations de données en cours de suivi, tenue par le Bureau des droits civils du département américain de la Santé et des Services sociaux, fait état de 366 491 personnes touchées. HHS classe l’événement comme un piratage ou un incident informatique impliquant le serveur réseau d’un prestataire de soins de santé.

Des documents judiciaires ultérieurs rattachent également un groupe d’environ 366 491 personnes au même incident de septembre 2024. Il s’agit du nombre total de personnes touchées déclaré; les chiffres décrivant un même périmètre n’ont pas été additionnés.

Les numéros de sécurité sociale, associés aux dates de naissance et aux adresses, peuvent faciliter l’usurpation d’identité ou les demandes frauduleuses d’ouverture de compte. Les identifiants de patient et d’assurance peuvent présenter des risques de demandes frauduleuses de remboursement de soins ou d’usurpation d’identité médicale.

Les informations sur les diagnostics et les traitements présentent aussi un risque important pour la vie privée. Un attaquant peut se faire passer pour un prestataire de soins de santé ou un assureur et utiliser des détails propres à une personne pour rendre son message plus convaincant. Toute demande inattendue doit donc être vérifiée par un canal de contact indépendant.

L’organisation a déclaré avoir mis en place des mesures de protection supplémentaires et avoir commencé à envoyer des lettres de notification individuelles le 13 novembre 2024. Une procédure ultérieure d’action collective s’est conclue par un accord amiable, sans reconnaissance de responsabilité de la part des parties.

Si vous avez reçu une notification, vous pouvez surveiller vos rapports de crédit et vos comptes financiers pour repérer toute activité inhabituelle, et envisager un gel du crédit ou une alerte à la fraude si votre numéro de sécurité sociale était concerné. Toute transaction suspecte doit être signalée directement à l’établissement concerné.

Vérifiez vos décomptes d’assurance santé, vos portails patients et vos factures médicales afin de repérer d’éventuels soins que vous n’avez pas reçus. Avant d’ouvrir un lien ou de communiquer des informations personnelles dans un message prétendant provenir de l’organisation ou d’un assureur, vérifiez le canal de contact de manière indépendante en passant par le site officiel.