Violation de données chez The Phia Group (1,5 million de personnes touchées)

The Phia Group a indiqué avoir procédé à un examen approfondi des fichiers pour identifier les clients, les types de données et les personnes concernés. L’entreprise a ensuite coordonné l’envoi des notifications avec les régimes d’assurance santé et les organismes tiers de gestion dont les informations étaient concernées.

La fiche publiée par le procureur général du Texas fait état d’un total actuel de 1 512 742 personnes touchées à l’échelle nationale. Il s’agit du total national figurant dans la déclaration au régulateur; les nombres de personnes recensées dans chaque État correspondent à des sous-ensembles déjà inclus dans ce total et n’y ont pas été ajoutés.

Selon les personnes, les informations concernées peuvent comprendre les noms, les adresses, les dates de naissance, les numéros de sécurité sociale, les numéros de permis de conduire ou de pièces d’identité délivrées par un État, ainsi que des informations sur les comptes financiers. Les informations d’assurance maladie et les données médicales font également partie du périmètre signalé.

Les données médicales peuvent comprendre les noms des prestataires de soins, des informations sur les traitements, les prescriptions et des informations relatives à Medicare ou Medicaid. Il ne faut pas supposer que tous les types de données cités concernent chaque personne touchée; une notification individuelle constitue la source la plus directe pour connaître le périmètre propre à une personne.

Les informations sur la couverture d’assurance santé, les traitements et les prescriptions sont profondément personnelles. Même lorsqu’elles n’entraînent pas de perte financière immédiate, elles peuvent porter atteinte à la vie privée, faciliter la fraude à l’assurance ou permettre des tentatives convaincantes de se faire passer pour un interlocuteur du secteur de la santé.

Les personnes concernées devraient examiner leurs décomptes de prestations, leurs demandes de remboursement auprès de leur régime d’assurance santé et les avis envoyés par leurs prestataires de soins. Si elles repèrent un traitement, une prescription ou une demande de remboursement qu’elles ne reconnaissent pas, elles devraient contacter le régime d’assurance ou le prestataire de soins concerné par un canal officiel connu.

Combinés, les numéros de sécurité sociale, les dates de naissance et les informations figurant sur les pièces d’identité officielles peuvent rendre plus crédibles les tentatives d’usurpation d’identité et d’ouverture frauduleuse de comptes. Les informations sur les comptes financiers peuvent également servir à créer de fausses alertes bancaires ou de paiement.

Les personnes touchées devraient envisager de surveiller leurs rapports de crédit, de demander le gel de leur dossier de crédit ou l’ajout d’une alerte à la fraude lorsque cela est approprié, et de vérifier l’activité de leurs comptes bancaires. Toute inscription à une offre de surveillance de l’identité doit se faire uniquement par le biais de la notification officielle.

Un attaquant peut exploiter des informations sur la couverture d’assurance santé ou les traitements pour créer des e-mails, des SMS ou des appels crédibles. Les demandes urgentes concernant des remboursements, des renouvellements de prescriptions, la vérification de l’assurance ou la surveillance de l’identité appellent une vigilance particulière.

Plutôt que de suivre des liens inattendus, contactez l’organisme chargé de la gestion du régime d’assurance, l’employeur, le prestataire de soins ou The Phia Group par un canal officiel connu. Ne communiquez pas de mots de passe, de codes à usage unique ou d’informations de paiement en réponse à une demande non sollicitée.

Un résultat positif signifie que l’adresse recherchée figure dans les enregistrements associés à cet incident; il ne prouve pas que tous les types de données cités concernent cette personne. Une notification personnelle reste la meilleure source pour comprendre quels champs de données ont pu être concernés.

Un résultat négatif ne prouve pas qu’une personne n’a pas été touchée; il signifie uniquement qu’aucune correspondance n’a été trouvée dans les données actuellement disponibles. Toute personne ayant reçu une notification directe devrait suivre les mesures de protection recommandées par l’entreprise et son régime d’assurance santé, quel que soit le résultat.