Violation de données chez SportsMed Physical Therapy en 2026

La source principale est le PDF « Avis d’incident concernant des données » de SportsMed, daté du 7 juillet 2026 et publié sur le domaine de l’entreprise. Ce document présente, au nom de l’organisme, la date de découverte, l’unique boîte de messagerie concernée, l’examen en cours, les catégories de données potentiellement touchées, les réinitialisations de mots de passe et la révision des politiques, l’évaluation d’une éventuelle utilisation abusive et la ligne d’assistance.

Claim Depot relie le PDF officiel au profil de l’organisme et propose un résumé indépendant de l’événement. Les deux sources concordent sur les points suivants : une seule boîte de messagerie, une découverte le 8 mai et la présence possible de champs contenant les noms des patients, les dates de soins, les prestataires de soins, les diagnostics, les traitements et les informations d’assurance. Bien que le résumé secondaire emploie le terme « compromis », LeakData ne considère pas le degré de certitude technique comme supérieur à celui qui ressort de la description d’une activité suspecte par l’organisme.

SportsMed a identifié le 8 mai une activité suspecte liée au compte de messagerie d’un seul employé et a immédiatement lancé une enquête. L’organisme a indiqué que l’examen était toujours en cours lors de la publication de l’avis du 7 juillet. Dans le cadre de sa réponse à l’incident, il a réinitialisé les mots de passe et réexaminé les politiques et procédures liées à l’événement.

Le document public ne précise ni le début ni la fin d’un accès non autorisé à la boîte de messagerie, ni la méthode d’accès initiale, ni si l’hameçonnage a été utilisé, ni l’identité de l’auteur. Il n’indique pas non plus si des courriels ont été téléchargés, si une rançon a été demandée ou si des données ont été publiées. Les nombres de personnes concernées, les champs de données et les affirmations attribuées à des acteurs malveillants qui n’ont pas été vérifiés ne sont pas retenus dans le périmètre public de l’incident.

Les données touchées pouvaient contenir les noms des patients et une ou plusieurs dates de soins. Cette association peut révéler qu’une personne a reçu des soins auprès de SportsMed et à quelles dates. Un nom et une date ne constituent pas un dossier médical complet, mais des éléments authentiques sur une consultation peuvent rendre plus convaincants des messages d’hameçonnage ciblé ou de facturation frauduleuse.

L’avis officiel ne mentionne pas les adresses, les dates de naissance, les numéros de sécurité sociale, les adresses électroniques, les numéros de téléphone, les numéros de dossier médical ou les cartes de paiement parmi les champs de données concernés par l’événement. Des recommandations générales de surveillance des dossiers de crédit ne prouvent pas que ces données étaient présentes.

SportsMed a cité les informations sur les diagnostics et les traitements parmi les types de données potentiellement concernés. Ces champs peuvent révéler le contexte d’une maladie, d’une blessure, d’un programme de rééducation ou d’une prestation de soins et constituent des informations de santé protégées. L’organisme a également indiqué que le nom d’un prestataire de soins pouvait être présent, ce qui pourrait relier une personne à un praticien ou à une équipe soignante en particulier.

Le PDF public ne confirme pas spécifiquement la présence d’un diagnostic précis, d’un type de traitement, d’une ordonnance, d’une note de suivi thérapeutique, d’une image, d’un résultat de laboratoire, d’une posologie ou d’un dossier médical complet. Si vous avez reçu une notification, consultez vos portails patients et les dossiers détenus par vos prestataires de soins afin de repérer les rendez-vous, notes, messages ou modifications de coordonnées que vous ne reconnaissez pas. Vérifiez toute entrée suspecte directement auprès de la clinique.

Les informations d’assurance maladie font également partie des champs qui pouvaient figurer dans les données touchées. Cette vaste catégorie peut révéler des éléments sur un assureur ou un contrat et faciliter des tentatives d’ingénierie sociale portant sur un décompte de prestations, une demande de remboursement ou un problème de couverture. SportsMed ne confirme pas spécifiquement la présence de numéros de contrat, d’adhérent, de groupe ou de demande de remboursement, ni d’images de cartes d’assurance.

Examinez vos décomptes de prestations et vos comptes d’assurance en ligne pour repérer les soins, les prestataires ou les demandes de remboursement que vous ne reconnaissez pas. Si une entrée suspecte apparaît, contactez le prestataire de soins et l’assureur par des canaux officiels dont vous avez obtenu les coordonnées de manière indépendante. Cet événement ne légitime aucune demande inattendue de paiement, de mot de passe ou de code à usage unique : ne vous y fiez pas.

SportsMed ne divulgue pas, dans son avis public, le nombre de personnes touchées à l’échelle nationale. L’organisme a indiqué qu’au moment de la notification, rien ne laissait penser que les informations avaient été utilisées abusivement. Cette évaluation faite à l’époque n’exclut pas une utilisation abusive ultérieure.

SportsMed a réinitialisé les mots de passe, évalué les politiques et procédures liées à l’événement et mis en place un centre d’appels au 1-833-851-9744, joignable en semaine de 8 h du matin à 8 h du soir, heure de l’Est (ET). L’organisme recommande de surveiller les dossiers de crédit, les relevés de compte et les décomptes de prestations. Les sources devront être mises à jour si l’enquête en cours modifie les conclusions.