Violation de données chez Spindletop Center en 2025

La source principale est l’avis adressé aux personnes concernées et publié au nom de Spindletop Center. Il décrit directement la découverte de la cyberattaque, la date de l’accès, les dates de fin de l’enquête et de l’examen des données, les champs potentiellement exposés, l’état des connaissances sur une éventuelle utilisation abusive et les mesures prises par l’organisme.

La deuxième source est le portail des violations de données du HHS OCR, qui confirme le total de 88 863 personnes consigné au niveau fédéral ainsi que les classifications de l’incident. SC Media rapporte de manière indépendante que le groupe Rhysida a revendiqué l’attaque contre Spindletop Center. Comme l’avis de l’organisme ne mentionne ni auteur ni rançongiciel, cette attribution est considérée comme une revendication publique d’un acteur malveillant, et non comme une conclusion technique définitive.

L’enquête a établi qu’un tiers non autorisé pourrait avoir accédé à des informations sensibles dans les systèmes de Spindletop le 23 septembre. L’organisme a détecté la cyberattaque aux alentours du 29 septembre, après que certains systèmes et serveurs sont devenus indisponibles pendant une période limitée. Spindletop a fait appel à des experts externes en cybersécurité pour évaluer et contenir l’incident, puis prendre des mesures correctives, et a informé les forces de l’ordre.

L’enquête technique s’est achevée le 3 décembre 2025. Spindletop a ensuite procédé à un examen détaillé pour identifier les personnes auxquelles se rapportaient les informations potentiellement touchées et trouver des adresses valides; cette démarche s’est terminée le 30 décembre. La date de l’incident repose sur la première activité technique vérifiable à partir des sources publiques.

L’avis indique que les prénoms et noms, les numéros de sécurité sociale, les numéros de permis de conduire ou d’autres pièces d’identité délivrées par les autorités, les informations de diagnostic et les numéros de dossier ont potentiellement été exposés. L’association de numéros d’identification et de données de diagnostic dans un contexte de santé comportementale en fait une violation particulièrement sensible de données personnelles et d’informations de santé protégées.

Spindletop a expressément précisé que les types de données variaient selon les personnes et que tous les champs énumérés n’avaient pas été exposés pour chaque personne. Cette fiche ne fournit donc aucun décompte par sous-groupe et n’ajoute pas de catégories non mentionnées : adresses, dates de naissance, adresses e-mail, mots de passe, cartes de paiement, comptes bancaires ou identifiants d’assurance maladie. L’organisme n’a pas non plus confirmé que les données avaient été rendues publiques.

Le nombre de personnes ou d’enregistrements concernés publié par la source officielle correspond à l’ampleur déclarée de l’incident. Cela ne signifie pas que chaque catégorie de données mentionnée concernait chaque personne. Il ne s’agit pas d’un décompte de fichiers, de séances de thérapie, de documents de dossier, de diagnostics ou d’éléments de données individuels. Comme plusieurs champs peuvent concerner une même personne, les catégories de données n’ont pas été additionnées pour produire un autre total.

Spindletop Center est un organisme communautaire à but non lucratif qui propose des soins de santé comportementale, des programmes destinés aux personnes présentant une déficience intellectuelle ou des troubles du développement, des services d’aide au rétablissement pour les personnes ayant des problèmes liés à la consommation de substances et un soutien en situation de crise. Les sources ne précisent pas la répartition entre les bénéficiaires actuels ou anciens, les salariés et les autres personnes; cette fiche ne présente donc pas de totaux distincts pour ces groupes.

Après avoir détecté l’attaque, l’organisme a déclaré avoir travaillé avec des experts externes en cybersécurité pour évaluer et contenir l’incident, puis prendre des mesures correctives, et avoir informé les forces de l’ordre. Spindletop a également mis en place des protections supplémentaires, renforcé la sécurité physique liée à la cybersécurité et indiqué qu’il continuait à améliorer ses politiques, procédures et protocoles.

À la date de l’avis, Spindletop n’avait trouvé aucun élément indiquant une utilisation abusive des informations dont il avait la garde. Malgré cela, les numéros de sécurité sociale et les numéros des pièces d’identité délivrées par les autorités créent un risque durable d’usurpation d’identité. L’absence d’utilisation abusive connue ne garantit pas qu’aucune fraude ne surviendra par la suite et ne rend pas inutile une surveillance préventive.

Si vous avez reçu l’avis, consultez régulièrement vos rapports de crédit et les demandes de consultation de votre dossier liées à l’ouverture de nouveaux comptes. Envisagez, selon votre situation, de mettre en place une alerte à la fraude gratuite ou un gel du crédit. Tout compte inconnu ou toute utilisation de votre identité doit être signalé par les voies officielles à l’établissement concerné, aux forces de l’ordre et au bureau du procureur général compétent.

Des messages contenant des détails sur un diagnostic ou un dossier peuvent rendre crédibles des tentatives ciblées d’hameçonnage dans le domaine de la santé. N’ouvrez pas directement les liens contenus dans des communications inattendues prétendant provenir de Spindletop, d’un centre de soins, d’un organisme public ou d’une agence d’évaluation du crédit; prenez contact en passant par le site officiel de l’organisme ou par un numéro déjà vérifié.