Fuite de données chez Summit Pathology 2024

Dans l’incident de Summit Pathology, la notification mentionne un large éventail de données. Les systèmes concernés peuvent contenir des prénoms et noms, des adresses, des dates de naissance, des numéros de sécurité sociale, des informations financières, des informations d’assurance maladie, des données de facturation médicale et certaines informations médicales. Ces dernières peuvent comprendre des données relatives aux services d’anatomopathologie, notamment des informations diagnostiques. La présence de données démographiques, financières et d’assurance maladie dans un même ensemble de fichiers montre que l’incident ne peut pas être considéré comme une simple fuite de coordonnées.

Cette combinaison de données crée des risques à plusieurs niveaux. Les numéros de sécurité sociale et les dates de naissance restent durablement exploitables pour l’usurpation d’identité, les demandes de crédit, la fraude fiscale et le détournement des procédures de récupération de compte. Les informations d’assurance maladie et de facturation peuvent servir à créer de fausses factures médicales, à commettre des fraudes à l’assurance ou à usurper l’identité de patients sur leurs comptes. Les dossiers contenant des informations sur un diagnostic ou une prestation médicale peuvent porter atteinte à la confidentialité des données de santé et rendre plus convaincants des messages ciblés d’ingénierie sociale. Les personnes concernées doivent donc surveiller non seulement leurs comptes de crédit, mais aussi les opérations liées à leur assurance maladie et à leur facturation en tant que patients.

Le début de l’incident et sa détection sont situés, selon les éléments vérifiés, autour du 18 avril 2024. La notification indique que l’entreprise a sécurisé son réseau après avoir constaté une activité suspecte, fait appel à des experts pour mener l’investigation et estimé que certains fichiers avaient pu être consultés ou emportés par un tiers non autorisé. La date de notification indiquée est le 18 octobre 2024; elle correspond à la communication de l’incident aux utilisateurs. Le registre des violations de données de santé mentionne 1 813 538 personnes pour Summit Pathology et Summit Pathology Laboratories, Inc., dans la catégorie serveur réseau et piratage/incident IT.

Les champs de données de cette fiche ont été ajoutés conformément à la liste explicite figurant dans la lettre de notification. Les informations financières et le numéro de sécurité sociale y étant expressément mentionnés, ces champs ont été inclus. En revanche, le mot de passe d’un compte utilisateur, le numéro de carte, le numéro de passeport et les détails du système de dossiers médicaux électroniques n’ont pas été ajoutés aux catégories de données, car ils ne figurent pas explicitement dans la notification officielle. Il n’a pas été supposé que les fichiers contenaient effectivement les mêmes champs pour chaque personne, puisque la notification laisse entendre que les types de données peuvent varier selon les individus.

Le principal groupe à risque comprend les patients qui bénéficient des services d’anatomopathologie de Summit Pathology, ainsi que les personnes dont les informations figurent dans les systèmes des laboratoires pour permettre la réalisation de ces prestations. L’entreprise précise qu’elle fournit des services d’anatomopathologie à des prestataires de soins et que le destinataire de la notification peut être concerné du fait des services de Summit utilisés par son prestataire de soins. Ainsi, même si une personne ne se souvient pas avoir été directement en contact avec Summit, ses dossiers peuvent entrer dans le périmètre de l’incident si son médecin ou son établissement de santé a fait appel à Summit pour des services d’anatomopathologie.

Les données des patients étant particulièrement sensibles, le risque ne se limite pas à la fraude financière. L’utilisation conjointe d’informations diagnostiques, de données de facturation, de données d’assurance et d’informations d’identité peut permettre de préparer de fausses factures de laboratoire, des appels de vérification d’assurance, des tentatives d’usurpation de l’identité de prestataires de soins ou des messages d’hameçonnage personnalisés. Pour les personnes dont le numéro de sécurité sociale est concerné, le risque s’inscrit dans la durée; pour celles dont les informations financières ou les données de facturation sont concernées, il convient également de surveiller l’activité des comptes et les paiements liés aux soins.

Pour les personnes qui reçoivent la notification, la première étape consiste à vérifier dans la lettre quels types de données les concernant peuvent avoir été touchés. Si un numéro de sécurité sociale ou des informations financières sont concernés, le gel du dossier de crédit, la mise en place d’alertes à la fraude et l’examen des rapports de crédit sont prioritaires. Pour les informations d’assurance maladie et de facturation, il convient de vérifier régulièrement les relevés d’assurance, les comptes patients et les factures de laboratoire inattendues. En cas de message suspect portant sur des prestations médicales ou des informations diagnostiques, il faut appeler directement le prestataire de soins plutôt que de cliquer sur le lien.

Les personnes bénéficiant de services de protection de l’identité doivent s’inscrire uniquement en suivant les instructions officielles de la notification. Pour les portails patients, les comptes de messagerie et les systèmes de facturation qui partagent le même mot de passe, il convient de définir un mot de passe distinct pour chacun, d’activer l’authentification multifacteur et de fermer les anciennes sessions. Des informations qui ne peuvent pas être modifiées, comme les numéros de sécurité sociale, ayant pu fuiter, un simple changement de mot de passe ne suffit pas. Il faut surveiller conjointement les activités liées au crédit, à la fiscalité, à l’assurance et aux soins de santé.

L’incident de Summit Pathology montre l’ampleur que peut prendre le risque lié aux données de santé détenues par des tiers, lorsque des laboratoires et des prestataires d’anatomopathologie traitent des fichiers sensibles pour le compte de nombreux organismes de santé. Un patient peut ne pas connaître directement le laboratoire concerné; ses données peuvent néanmoins figurer dans ces systèmes du fait d’analyses, de diagnostics ou de procédures de facturation. Les patients doivent donc être attentifs non seulement au portail de leur médecin, mais aussi aux notifications des laboratoires et des prestataires de facturation auxquels ils ont recours.

Pour les établissements, une stratégie à long terme consiste à restreindre les droits d’accès aux fichiers, à ne pas conserver inutilement d’anciennes données, à stocker les données de facturation médicale dans des couches de protection distinctes et à mettre en place des journaux d’audit permettant de détecter rapidement les mouvements inhabituels de fichiers. Lorsque de grands ensembles de fichiers contiennent des données d’identité, de santé et de facturation, l’impact de l’incident s’en trouve multiplié. Après un incident, il convient donc de réévaluer non seulement les mesures de remise en état des systèmes, mais aussi les politiques de conservation des données, la segmentation du réseau, la formation du personnel et les procédures de notification aux tiers.

La fiche Summit Pathology 2024 sur LeakData vise à aider les utilisateurs à comprendre le périmètre réel de l’incident lorsqu’ils vérifient s’ils sont concernés par cette importante violation de données de santé. Elle s’appuie sur la date de l’incident, le 18 avril 2024, sur le nombre de personnes touchées, soit 1 813 538, et sur les types de données explicitement énumérés dans la notification officielle. Les catégories de données retenues sont l’identité, l’adresse, la date de naissance, le numéro de sécurité sociale, les informations financières, les informations d’assurance maladie, les données de facturation, les informations médicales et les informations diagnostiques.

Les utilisateurs pour lesquels cette violation apparaît parmi les incidents les concernant doivent vérifier régulièrement leurs rapports de crédit et leurs relevés d’assurance maladie, rester attentifs aux factures d’anatomopathologie ou de laboratoire inattendues et se méfier des messages usurpant l’identité de prestataires de soins. Dans les incidents où des informations personnelles et des données de santé ont pu fuiter ensemble, le risque persiste longtemps. La fiche a donc été vérifiée et marquée comme active et sensible; les démarches des utilisateurs ne doivent pas se limiter à un changement de mot de passe.