Violation de données d’UI Community HomeCare et d’UI Health Care en 2025

La source principale est l’avis public de University of Iowa Health Care daté du 29 août 2025. Il indique qu’un accès non autorisé au système d’UI Community HomeCare a eu lieu et précise expressément que le cybercriminel pouvait consulter des fichiers et en faire des copies. Cette formulation confirme l’obtention de données, et non la simple possibilité d’un accès aux informations.

Le portail fédéral des violations de données de HHS OCR recense 109 029 personnes pour University of Iowa Community Home Care et 101 875 pour University of Iowa Health Care. Les deux entrées présentent la même date de signalement, le même type d’incident et le même emplacement des informations : le 29 août 2025, Piratage/incident informatique et Serveur réseau. Le HIPAA Journal a examiné l’annonce de manière indépendante et a indiqué que cet événement unique avait touché environ 211 000 personnes.

Le 3 juillet, UI Community HomeCare a constaté qu’une personne avait accédé sans autorisation à son système informatique. L’organisation a arrêté les serveurs, fait appel à des experts en cybersécurité et rétabli les systèmes de manière sécurisée dans un délai d’un jour ouvré. La date de l’incident repose sur la première activité technique vérifiable à partir de sources publiques.

L’analyse forensique a établi que l’auteur avait non seulement consulté certains fichiers, mais aussi réalisé des copies. UI Community HomeCare et UI Health Care disposaient de systèmes d’exploitation, de dossiers médicaux électroniques et de services informatiques distincts, mais leurs liens historiques impliquaient le partage de patients, d’employés et de fichiers de données. Un ensemble de fichiers d’UI Health Care stockés dans l’environnement de l’organisation affiliée a donc été concerné.

L’avis officiel cite les noms, les dates de naissance, les adresses, les numéros de téléphone, les numéros de dossier médical, les prestataires de soins, les dates de soins, les informations d’assurance maladie, les numéros de sécurité sociale et les types de consultation parmi les champs potentiellement concernés. Ces éléments relèvent des catégories plus larges des informations personnelles et des informations de santé protégées. La combinaison de données variait d’une personne à l’autre : aucun champ n’est donc considéré comme présent pour l’ensemble des personnes concernées.

La FAQ de l’avis indique que rien ne laissait penser que des numéros de sécurité sociale figuraient dans les données de certains groupes de destinataires auxquels elle s’adresse, tandis que l’avis public principal cite ce champ parmi les éléments possibles. La présence de champs non mentionnés, tels que des diagnostics, des prescriptions, des cartes de paiement ou des mots de passe, n’est pas présumée.

L’enquête officielle a confirmé qu’aucun accès non autorisé au système de dossiers médicaux électroniques d’UI Health Care n’avait eu lieu. Cette limite ne diminue pas la portée de l’incident, car des données relatives à l’identité, aux coordonnées, à l’assurance et aux relations avec les prestataires de soins, conservées dans des fichiers partagés, ont tout de même été copiées. Cette fiche décrit uniquement le périmètre confirmé des fichiers concernés et n’affirme pas que l’ensemble du système clinique a été compromis.

L’organisation a contacté les forces de l’ordre, déployé de nouveaux outils de surveillance, mis à jour les micrologiciels, changé les mots de passe et supprimé des fichiers du matériel affecté. Elle a déclaré qu’aucun indice d’utilisation abusive n’avait été relevé au moment de l’envoi des notifications. Ce constat ne remet pas en cause l’obtention confirmée des données et ne permet pas d’écarter le risque futur d’usurpation d’identité, de fraude à l’assurance ou de fraude dans le domaine de la santé.

L’avis officiel arrondit le nombre total de personnes concernées à environ 211 000. HHS OCR publie le même événement du 3 juillet dans deux entrées correspondant à des entités affiliées : 109 029 et 101 875.

Les deux entrées de HHS ne sont pas présentées comme des attaques distinctes, car la date, l’infrastructure, le jour de notification et le récit officiel décrivent tous un seul événement. Les documents publics ne précisent pas si certaines personnes figurent dans les deux entrées fédérales. Puisque HHS recense les populations sous des entités distinctes, leur somme constitue le chiffre exact disponible le mieux étayé. La méthode et cette incertitude sont conservées dans les notes relatives aux sources.

UI Health Care et UI Community HomeCare ont envoyé des courriers aux personnes concernées le 29 août 2025. L’organisation a indiqué qu’elle ne proposait pas de surveillance gratuite du crédit, car elle n’avait relevé aucun indice d’utilisation abusive au moment de la notification. Si vous avez reçu un courrier, prenez en compte les champs qui y sont indiqués et examinez régulièrement vos relevés de compte, vos rapports de crédit et les décomptes de prestations de votre assurance maladie.

Si vous constatez un soin médical, une demande de prise en charge par une assurance, un nouveau compte de crédit ou un message de vérification d’identité que vous ne reconnaissez pas, contactez l’organisation concernée par un canal officiel connu. Soyez particulièrement vigilant face aux appels ou aux liens inattendus qui invoquent le nom des établissements concernés.