Violation de données de Springfield Hospital en 2025

La source principale est l’« Avis d’incident de sécurité des données » publié sur le site de l’hôpital le 10 avril 2026. Il précise directement que l’incident concernait le compte d’un seul employé, indique la date d’accès du 17 décembre, la sécurisation du tenant de messagerie, l’évaluation des données du 10 février et les catégories de données confirmées, et fournit un numéro d’assistance dédié.

La fiche du HHS OCR classe Springfield Hospital parmi les prestataires de soins de santé du Vermont et mentionne 5 892 personnes concernées, une déclaration déposée le 10 avril 2026, des données situées dans la messagerie électronique et un incident de type « piratage ou incident informatique ». Un dossier du procureur général du New Hampshire contient également l’avis aux consommateurs et confirme la procédure de notification, constituant ainsi une seconde source officielle émanant d’un État.

Selon l’avis officiel, une personne non autorisée a accédé au compte de messagerie d’un employé de Springfield Hospital le 17 décembre. Après avoir pris connaissance du problème, l’hôpital a sécurisé son tenant de messagerie et lancé une enquête approfondie pour déterminer la nature et l’étendue de l’incident, ainsi que la présence éventuelle de données personnelles ou de santé dans ce compte.

Le 10 février, l’hôpital a appris que le compte auquel la personne avait accédé contenait une quantité limitée de données personnelles et de santé, qui avaient pu être consultées par celle-ci. La déclaration publique n’affirme pas de manière définitive que des courriels ont été téléchargés, transférés ou exfiltrés, et ne révèle ni l’identité de cette personne ni la méthode utilisée pour l’accès initial.

Les informations variaient selon les personnes, mais pouvaient comprendre le nom complet, la date de naissance et le numéro de sécurité sociale. Cette combinaison peut accroître le risque de demandes de crédit frauduleuses, de fraude fiscale par usurpation d’identité et d’hameçonnage ciblé. La formulation de l’hôpital ne signifie pas que chacune des catégories de données citées concernait l’ensemble des 5 892 personnes.

L’avis officiel ne mentionne pas les adresses, numéros de téléphone, adresses électroniques, mots de passe, permis de conduire, passeports, comptes bancaires, cartes de paiement ou numéros d’assurance maladie parmi les données concernées. Les pièces d’identité citées dans les conseils généraux sur le gel du dossier de crédit ne font pas partie des données de cet incident.

Les catégories de données de santé confirmées sont le motif de consultation, le nom du médecin ayant assuré les soins et le numéro de dossier médical. Ces informations peuvent relier une personne à une consultation, à un contexte clinique ou à un prestataire de soins particulier. Elles sont sensibles au regard des risques d’usurpation d’identité médicale et d’ingénierie sociale ciblée.

La source ne mentionne pas d’autres catégories de données, telles que des diagnostics détaillés, des notes de traitement, des ordonnances, des résultats d’analyses, des images, des dates de soins, des codes de facturation ou des demandes de remboursement à l’assurance. Le motif de consultation est une catégorie générale de données de santé et ne permet pas, à lui seul, d’établir l’existence d’une maladie précise.

L’hôpital a déclaré avoir sécurisé le tenant de messagerie, enquêté sur l’incident, informé les personnes concernées et poursuivi l’évaluation de ses pratiques et de ses contrôles internes afin de protéger les données personnelles. Lors de la publication de l’avis officiel, il indiquait ne disposer d’aucune preuve d’une utilisation abusive des informations résultant directement de l’incident.

Une ligne d’assistance confidentielle a été mise en place au 1-833-289-6183 pour les personnes concernées ou pensant l’être. Elle est accessible en semaine, de 8 h à 20 h, heure de l’Est. L’avis ne promet pas de service de surveillance du crédit; il explique plutôt comment obtenir des rapports de crédit gratuits, mettre en place des alertes à la fraude et des gels de sécurité du dossier de crédit, et prendre des mesures de protection contre l’usurpation d’identité médicale.

Si vous avez reçu une notification, examinez vos rapports de crédit et l’activité de vos comptes pour repérer des demandes de consultation de votre dossier ou des comptes que vous ne reconnaissez pas. Vérifiez également vos relevés de prestations d’assurance maladie afin de détecter des consultations ou des services inconnus. Si un SSN était concerné, un gel du dossier de crédit, une alerte à la fraude et un code PIN de protection de l’identité de l’IRS peuvent constituer des mesures de protection adaptées.

Ne communiquez pas de SSN, de date de naissance, de numéro de dossier médical ni de code de vérification, et n’effectuez aucun paiement en réponse à un courriel, un message ou un appel inattendu prétendant provenir de Springfield Hospital. Pour vérifier toute demande, utilisez uniquement le numéro figurant dans l’avis officiel. Si vous recevez un message suspect ou constatez une activité suspecte sur un compte, vérifiez-en l’authenticité auprès de l’organisation en utilisant ses coordonnées officielles actuelles, sans suivre les liens du message. Lorsqu’une lettre de notification individuelle est disponible, elle constitue la source principale pour connaître les données concernées propres à chaque personne et les mesures de protection proposées. Les dates et les catégories de données ne doivent être interprétées que dans les limites de ce qu’étayent les sources publiques; les détails non divulgués ne doivent pas être considérés comme confirmés.