Violation de données chez TriCity Family Services

Au printemps 2025, l’organisation a découvert des éléments attestant un accès non autorisé à ses systèmes, sécurisé son environnement informatique et lancé une enquête avec un cabinet externe de cybersécurité. L’enquête a établi qu’un acteur non autorisé avait accédé au réseau et téléchargé des copies de certains fichiers entre le 11 novembre 2024 et le 14 mai 2025.

La notification officielle ne précise ni la méthode d’accès initiale, ni la vulnérabilité exploitée, ni l’identité de l’acteur responsable. TriCity indique expressément que ses dossiers médicaux électroniques n’ont pas été touchés et que seules les informations recueillies lors de l’admission étaient concernées.

Selon les personnes, les informations concernées ont pu comprendre les noms, les dates de naissance, les motifs de consultation, les soins demandés, les lieux de prise en charge et les noms des prestataires de soins. Cet ensemble d’informations est sensible, car il peut relier l’identité d’une personne à un contexte de santé mentale.

Le périmètre officiel de l’incident ne mentionne pas de numéros de sécurité sociale, de comptes financiers, de cartes de paiement, de mots de passe ni de dossiers médicaux électroniques complets. Les conseils généraux de protection du crédit figurant dans la notification ne doivent pas être considérés comme une preuve que ces données étaient concernées.

La fiche du registre des violations de données du département américain de la Santé et des Services sociaux, datée du 8 décembre 2025, fait état de 2 511 personnes touchées et classe l’événement dans la catégorie « Piratage/incident informatique », impliquant un serveur réseau.

Les personnes ayant reçu une notification devraient se fonder sur le périmètre des données indiqué dans leur propre courrier et examiner l’activité de leur portail patient, les décomptes de prestations de leur assurance maladie et leurs factures médicales afin de repérer des services, des prestataires ou des demandes de remboursement qu’elles ne reconnaissent pas.

Des détails tels qu’un motif de consultation ou les soins demandés peuvent rendre une tentative de fraude ciblée plus convaincante. Toute communication inattendue utilisant le nom de TriCity devrait être vérifiée de manière indépendante, par un canal officiel, sans utiliser les liens ni les numéros de rappel figurant dans le message.