Violation de données de Saint Pete MRI en 2025

La source principale est le PDF officiel de Saint Pete MRI intitulé « Avis de notification de substitution », daté du 22 juillet 2026 et accessible directement depuis sa page d’accueil. Le document précise la date de découverte, les mesures de sécurisation des systèmes, les conclusions de l’investigation numérique, les dates d’examen des fichiers et de vérification des coordonnées, les catégories de données, l’évaluation des éventuels usages abusifs, la notification au HHS et les coordonnées du centre d’appels.

Un dossier de notification aux consommateurs du Massachusetts constitue un document officiel distinct, conservé par cet État, concernant l’organisation. Claim Depot rapproche le PDF de l’organisation et le dossier réglementaire, et indique que 107 personnes ont reçu une notification dans le Massachusetts et neuf dans le Vermont. Il s’agit de sous-ensembles propres à ces États, et non d’un total national. Les sources concordent sur la nature de l’incident, sa chronologie et les principales catégories d’informations d’identification et de santé.

Après avoir détecté une activité suspecte sur son réseau, Saint Pete MRI a pris des mesures pour sécuriser ses systèmes internes et a fait appel à des experts indépendants en investigation numérique afin de déterminer ce qui s’était passé et quelles données avaient pu être touchées. Les spécialistes ont confirmé qu’aucun accès aux systèmes informatiques de prise en charge des patients et d’imagerie médicale de l’organisation n’avait eu lieu. Ils ont toutefois constaté que certaines données numérisées avaient pu être obtenues sans autorisation.

L’avis public ne précise ni le mode d’accès initial, ni l’auteur, ni le logiciel malveillant, ni les heures exactes de début et de fin, ni l’existence d’une demande de rançon ou d’une publication des données en ligne. La conclusion selon laquelle des données « ont pu être obtenues » justifie de prendre au sérieux la possibilité d’une extraction, mais ne prouve pas que chaque document numérisé a été copié ni que les mêmes informations étaient présentes pour chaque personne.

Après l’enquête technique initiale, une équipe indépendante a procédé à un examen complet et de longue durée pour repérer les informations personnelles dans les fichiers numérisés. Ce travail a permis de conclure, le 7 avril 2026, que certaines informations personnelles avaient pu figurer dans les données concernées. Saint Pete MRI a ensuite vérifié l’identité des personnes potentiellement touchées, recueilli leurs coordonnées et évalué l’étendue des informations concernées.

La vérification des identités et des coordonnées a été achevée le 15 juillet 2026, soit environ dix-sept mois après la découverte. Le 22 juillet, l’organisation a envoyé des lettres via le service U.S. First-Class Mail aux personnes dont elle disposait de l’adresse et a publié un avis de notification de substitution pour celles qu’elle ne pouvait pas contacter.

Selon l’avis officiel, les noms, les numéros de sécurité sociale américains, les dates de naissance, les numéros de permis de conduire ou de pièces d’identité délivrées par un État ont pu être présents. Cet ensemble d’informations expose durablement les personnes à l’ouverture frauduleuse de crédits, à l’usurpation d’identité à des fins fiscales, à l’usurpation d’identité au moyen de documents administratifs et à l’ingénierie sociale ciblée. Il ne faut pas supposer que toutes ces informations ont été touchées pour chaque personne.

Si vous avez reçu une notification, vous devriez vérifier vos rapports de crédit pour repérer des comptes ou des demandes de consultation que vous ne reconnaissez pas, et envisager un gel gratuit de votre dossier de crédit ou la mise en place d’une alerte à la fraude auprès des trois principaux bureaux de crédit. Lorsqu’un SSN est concerné, le dispositif IRS Identity Protection PIN peut offrir une protection supplémentaire. Ne communiquez pas de numéros SSN, d’images de pièces d’identité, de mots de passe ou de codes à usage unique en réponse à des messages inattendus prétendant provenir de Saint Pete MRI, d’un assureur ou d’un organisme public.

Les données numérisées pouvaient contenir des informations médicales et d’assurance maladie. Ces catégories peuvent révéler le lien d’une personne avec un centre d’imagerie, un laboratoire du sommeil ou une autre structure de soins, et peuvent faciliter une fraude à l’identité médicale. La conclusion de l’investigation numérique selon laquelle aucun accès aux systèmes informatiques de prise en charge des patients et d’imagerie n’avait eu lieu est importante : il ne faut pas étendre la portée de l’incident à l’intégralité du contenu de ces systèmes.

Le PDF officiel ne confirme pas séparément la présence de diagnostics, de traitements, d’images, de résultats d’examens, de prescriptions, de numéros de dossiers médicaux, de numéros de contrats d’assurance ou de numéros d’adhérents. LeakData s’en tient aux catégories médicales et d’assurance telles qu’elles ont été divulguées, sans les préciser davantage. Vous devriez consulter vos portails patients et vos décomptes de prestations d’assurance pour repérer des soins, des examens d’imagerie, des prestataires ou des modifications de coordonnées que vous ne reconnaissez pas, puis vérifier directement les éléments suspects auprès des établissements concernés.

Les 107 résidents du Massachusetts et les neuf résidents du Vermont constituent des sous-ensembles de personnes ayant reçu une notification dans ces États. Saint Pete MRI a déclaré qu’au moment de la notification, elle ne disposait d’aucun élément indiquant un usage abusif ou une tentative d’usage abusif des informations.

L’organisation a sécurisé ses systèmes, fait appel à des équipes indépendantes pour les examens techniques et documentaires, envoyé des notifications par courrier, publié un avis de notification de substitution et informé l’Office for Civil Rights du HHS. Son centre d’appels, joignable au 1-877-396-3217, est ouvert en semaine de 9 heures du matin à 9 heures du soir, heure de l’Est (ET). Ce constat d’« absence d’éléments », valable au moment de l’évaluation, n’exclut pas les risques futurs.