Fuite de données chez Serviceaide Catholic Health 2024

Dans le cadre de l’incident Serviceaide Catholic Health 2024, les types de données potentiellement à risque comprennent les prénoms et noms, la date de naissance, le numéro de sécurité sociale, le numéro de dossier médical, le numéro de compte patient, les informations médicales et de santé, les informations d’assurance maladie, les informations sur les traitements, les prescriptions et les données cliniques, les noms et lieux d’exercice des prestataires de soins, ainsi que l’adresse e-mail ou le nom d’utilisateur et les mots de passe. Les types de données peuvent varier d’une personne à l’autre; il n’est pas affirmé que tous les champs mentionnés sont présents pour chaque patient.

La combinaison de ces données présente un risque élevé. Un numéro de sécurité sociale accroît le risque d’usurpation d’identité et de demandes frauduleuses. Les numéros de dossier médical et de compte patient, ainsi que les informations sur les traitements et les prescriptions, peuvent révéler des renseignements sensibles sur les antécédents médicaux d’une personne, les soins reçus et ses relations avec les professionnels de santé. Les informations d’assurance maladie peuvent servir à présenter des demandes de remboursement frauduleuses ou à établir des facturations erronées. Si des noms d’utilisateur, des adresses e-mail et des mots de passe sont présents, les autres comptes utilisant le même mot de passe peuvent également être à risque. Des champs tels que le nom et le lieu d’exercice d’un prestataire de soins peuvent aider des attaquants à rédiger des messages plus convaincants, en imitant des échanges liés à une prise en charge réelle.

Dans cette fiche, le début de la violation de données est fixé au 19 septembre 2024, et la date retenue pour la découverte de l’incident est le 15 novembre 2024. Il a été rapporté que la base de données était restée accessible sur Internet jusqu’au 5 novembre 2024. Cette fiche porte sur une base de données ouverte; elle ne fait état d’aucune allégation liée à un rançongiciel, telle qu’un chiffrement de fichiers, un blocage de l’accès aux systèmes ou une interruption d’activité. Le principal risque de cet incident tient à la présence de données personnelles et d’informations de santé protégées de patients de Catholic Health dans une base de données accessible sans authentification.

La principale limite concernant le périmètre de l’incident est l’absence de preuve définitive que les données ont été copiées. Néanmoins, la base étant accessible, la possibilité d’une utilisation abusive ne peut pas être totalement exclue. La fiche retient le chiffre de 483 126 personnes concernées comme nombre de patients; ce chiffre ne doit pas être interprété comme un nombre de comptes utilisateurs individuels ou de mots de passe. Les catégories de données se limitent à celles signalées pour les patients de Catholic Health. Vous devez vous référer aux champs exacts indiqués dans votre courrier de notification.

Le principal groupe à risque est constitué des patients actuels et anciens ayant reçu des soins dans les établissements de Catholic Health situés dans la région de Buffalo, dans l’État de New York. Les personnes ayant un lien avec des services hospitaliers, des consultations en clinique, des traitements, des prescriptions, des opérations d’assurance maladie, des comptes patients ou des dossiers médicaux peuvent être concernées par l’incident. Le nom Serviceaide peut ne pas leur être familier : dans cet incident, Serviceaide intervient comme prestataire tiers assurant le soutien des systèmes technologiques et de données de Catholic Health.

Le risque d’usurpation d’identité est plus élevé pour les patients dont le numéro de sécurité sociale est concerné. Le risque pour la vie privée est particulièrement important pour les personnes dont les dossiers médicaux, les numéros de compte patient ou les informations sur les traitements, les prescriptions ou les données cliniques sont concernés. Si vos informations d’assurance maladie sont concernées, surveillez les prestations de soins frauduleuses et les facturations erronées. Si votre nom d’utilisateur, votre adresse e-mail ou votre mot de passe sont concernés, soyez vigilant face aux prises de contrôle de comptes, aux tentatives d’accès au moyen de mots de passe et à l’hameçonnage ciblé. Vérifiez avec une attention particulière les messages mentionnant le lieu d’exercice d’un prestataire et votre relation avec celui-ci, car ils peuvent paraître authentiques.

Si vous avez pu être touché par l’incident Serviceaide Catholic Health 2024, vérifiez d’abord quels types de données figurent dans la notification reçue. Si votre numéro de sécurité sociale en fait partie, procurez-vous un rapport de solvabilité et envisagez des mesures telles que le gel du dossier de crédit ou la mise en place d’alertes à la fraude. Si un nom d’utilisateur, une adresse e-mail ou un mot de passe sont concernés, changez le mot de passe de tous les comptes sur lesquels vous utilisez le même et activez l’authentification multifacteur partout où cela est possible. Accordez une priorité particulière aux comptes liés à la santé, aux portails patients et aux comptes de messagerie.

Si des informations médicales, des prescriptions, des informations d’assurance maladie ou des numéros de compte patient sont à risque, vérifiez régulièrement les relevés explicatifs de l’assurance, les demandes de remboursement de soins que vous ne reconnaissez pas, les factures inattendues et les données de votre portail patient. Ne cliquez pas sur des liens inattendus présentés comme provenant de Catholic Health ou de Serviceaide, ou comme concernant des mises à jour d’assurance, des renouvellements d’ordonnance, la vérification d’un compte patient ou la protection de l’identité. Pour communiquer avec l’établissement, utilisez les canaux officiels indiqués dans les notifications ou ceux que vous connaissez par ailleurs.

Dans cet incident, la protection doit s’inscrire dans la durée, car les informations d’identité, de santé, d’assurance et de connexion peuvent toutes se trouver dans un même ensemble d’enregistrements. Changer le mot de passe est une mesure urgente pour les informations de connexion; en revanche, des données telles que le numéro de sécurité sociale, le numéro de dossier médical, les informations sur les traitements et les informations d’assurance maladie sont difficiles à modifier, voire permanentes. Consultez vos rapports de solvabilité à intervalles réguliers, soyez attentif aux demandes frauduleuses pendant les périodes fiscales et surveillez régulièrement les demandes de remboursement auprès de votre assurance maladie.

Utilisez des mots de passe forts et uniques pour votre portail patient et vos comptes de messagerie, privilégiez un gestionnaire de mots de passe et activez l’authentification multifacteur. Les messages frauduleux personnalisés à l’aide de données de santé peuvent être plus convaincants; ne considérez donc pas comme fiable un message mentionnant le nom du médecin, l’emplacement de la clinique, une prescription, un traitement ou des informations d’assurance sans l’avoir vérifié par un canal indépendant. Les membres de la famille, les aidants et les personnes agissant au nom de patients âgés devraient également effectuer ensemble les démarches liées aux notifications et les vérifications des comptes.

La vérification proposée sur cette page vous permet de consulter les enregistrements contenant des informations d’identité, des données relatives aux patients, à la santé et à l’assurance, ainsi que des informations de connexion susceptibles d’être associés à la fuite de données Serviceaide Catholic Health 2024. Une correspondance ne signifie pas que tous les types de données mentionnés ont été exposés pour une même personne. Prenez en compte les champs indiqués dans votre propre notification, ainsi que votre historique de soins auprès de Catholic Health et votre utilisation du portail patient.

Si une correspondance apparaît, hiérarchisez vos démarches selon le type de données. Pour les numéros de sécurité sociale, donnez la priorité aux vérifications du dossier de crédit et des opérations administratives; pour les données de santé et d’assurance, aux dossiers patients et d’assurance; pour les noms d’utilisateur et les mots de passe, à la sécurité des comptes; pour les informations sur les prescriptions ou les traitements, aux vérifications relatives à la vie privée. L’incident Serviceaide Catholic Health 2024 est un événement important en matière de sécurité des données de santé, qui montre à quel point les configurations laissant ouvertes les bases de données de prestataires tiers peuvent avoir des conséquences sur la sécurité des patients.