Violation de données de Saint Anthony Hospital en 2025

La principale source probante est l’avis relatif à un incident de sécurité des données publié par l’hôpital sur son propre domaine. Il indique qu’un tiers non autorisé a pu accéder à deux comptes de messagerie de salariés et que l’incident a entraîné un accès non autorisé à certains fichiers non structurés du réseau ou leur acquisition. L’établissement confirme également avoir pris des mesures de confinement sur les systèmes touchés et mené une enquête avec des spécialistes externes de la cybersécurité.

HHS OCR répertorie l’événement dans la catégorie « Prestataire de soins de santé », le classe comme « Piratage/incident informatique » et indique la messagerie comme emplacement des informations concernées. Le total de 146 108 personnes figurant dans le registre fédéral vient étayer, par une déclaration réglementaire, le constat de l’hôpital concernant des données personnelles et de santé de patients. HIPAA Journal a comparé les sources de manière indépendante et corroboré la date d’accès, la fin de l’examen des données, le calendrier des notifications et l’étendue actualisée de l’incident.

Selon l’avis officiel, les fichiers et dossiers non structurés ont fait l’objet d’un accès ou ont été obtenus aux alentours du 27 février 2025. La date de l’incident repose sur la première activité technique vérifiable à partir de sources publiques. Le texte public ne précise ni le premier jour où l’auteur a accédé aux comptes, ni la durée totale de l’accès, ni la date à laquelle l’hôpital a initialement détecté l’événement. Cette fiche ne lui attribue donc pas une date de début antérieure.

Saint Anthony a travaillé avec des spécialistes pour identifier les données et les personnes concernées, et a terminé l’examen de ses fichiers vers le 13 février 2026. L’hôpital a ensuite publié un avis de notification de substitution et commencé à envoyer des notifications par courrier aux personnes potentiellement touchées le 6 mars 2026. Ce délai d’environ un an correspond au processus d’examen des fichiers et de rapprochement des identités; il ne signifie pas que l’attaquant serait resté présent pendant toute cette période.

La déclaration officielle de mars 2026 indique que les données non structurées concernées contenaient des données personnelles de patients et des informations personnelles de santé. Pour cet événement, elle ne mentionne pas séparément les noms, adresses, dates de naissance, numéros de sécurité sociale, diagnostics, prescriptions ou numéros de compte. Les chiffres non vérifiés concernant le nombre de personnes, les champs de données non confirmés et les affirmations non vérifiées d’acteurs malveillants ne sont pas retenus dans le périmètre public de l’incident.

Un avis public antérieur de Saint Anthony énumérait des champs détaillés, mais HHS répertorie des incidents présentant des dates et des nombres de personnes touchées différents. Les regrouper automatiquement ne serait donc pas fiable. Cette fiche se rapporte à l’avis de mars 2026 concernant 146 108 personnes et ne reprend pas la liste des champs de l’incident antérieur dans le périmètre du plus récent. Elle ne suppose pas non plus que les fichiers de chaque personne contenaient les mêmes catégories de données.

L’enquête d’analyse forensique de Saint Anthony a établi que son système de dossiers médicaux électroniques n’avait pas été touché par cet incident. Cette exclusion ne signifie pas qu’aucune information de santé n’était concernée : des données personnelles de patients et des informations de santé protégées ont été trouvées dans des fichiers non structurés associés à l’environnement de messagerie. Il faut donc distinguer la plateforme centrale de dossiers médicaux électroniques des documents stockés dans la messagerie ou sur le réseau.

LeakData identifie par conséquent la messagerie comme système touché et ne laisse pas entendre que l’ensemble de la plateforme clinique a été compromis. Les fichiers non structurés pourraient être des pièces jointes, des documents numérisés ou des documents sans format prédéfini, mais les sources ne précisent pas leurs formats exacts. Ces possibilités ne sont donc pas présentées comme des faits. L’exposition documentée reste limitée aux deux catégories expressément confirmées par l’hôpital.

Le nombre de personnes ou d’enregistrements concernés publié par la source officielle représente l’étendue déclarée de l’incident. Il ne signifie pas que chaque catégorie de données mentionnée concernait chaque personne. Il s’agit du nombre total de personnes touchées déclaré au régulateur fédéral, et non du nombre de fichiers, de comptes de messagerie ou de champs de données distincts. Les deux comptes de salariés correspondent aux points d’accès impliqués dans l’incident et ne doivent pas être confondus avec le nombre de victimes.

Comme le portail HHS contient également un incident de messagerie de Saint Anthony de moindre ampleur déclaré en 2025, la vérification des doublons ne s’est pas fondée uniquement sur le nom de l’établissement. Cette fiche se distingue par la combinaison de la date d’accès du 27 février, de la notification du 6 mars 2026 et du total de 146 108 personnes concernées. Les chiffres des différentes entrées fédérales ne sont pas additionnés, et aucun chevauchement inconnu entre les personnes touchées par des événements différents n’est calculé.

Au moment de la notification, l’hôpital a déclaré n’avoir connaissance d’aucun élément indiquant une utilisation abusive des informations, une usurpation d’identité ou une fraude. Il a néanmoins conseillé aux personnes concernées d’examiner régulièrement leurs relevés de comptes financiers, leurs rapports de crédit et leurs décomptes d’assurance maladie. Si vous ne reconnaissez pas un service, une demande de remboursement ou un paiement, vérifiez-le auprès du prestataire ou de l’assureur concerné en utilisant un canal officiel connu.

Les liens inattendus, les demandes de paiement et les messages de vérification d’identité se présentant au nom de Saint Anthony méritent une vigilance particulière, car le contexte de l’incident peut favoriser un hameçonnage ciblé. Si vous avez reçu une notification, fiez-vous au périmètre qui vous concerne personnellement et aux coordonnées officielles figurant dans votre courrier. LeakData ne publie pas de fichiers de patients volés et n’effectue pas de recherches dans ces fichiers; le service fournit uniquement des métadonnées vérifiées sur l’incident, des sources et des conseils pratiques sur les démarches à entreprendre.