Violation de données chez Visiting Nurse Association of Texas en 2025

La principale source pour le nombre de personnes touchées est la fiche BR-0005191 du procureur général du Texas, consacrée à cette violation de la sécurité des données. Elle identifie Visiting Nurse Association of Texas à son adresse de Dallas et publie des champs distincts pour le début et la fin de l’incident, la date de découverte, le nombre total de personnes touchées dans le pays, le sous-ensemble des résidents du Texas, les catégories de données et les modes de notification.

Le courrier 2026-148 destiné aux personnes concernées, conservé dans les archives officielles du Massachusetts, a été émis au nom de Visiting Nurse Association le 30 janvier 2026. Il confirme que des données de santé et d’identité ont pu être concernées, indique qu’aucun élément ne témoigne d’une utilisation abusive et décrit la protection proposée par l’intermédiaire de Cyberscout. Source publique sur la fuite de données rattache les documents du Texas et du Massachusetts au même incident.

La fiche réglementaire du Texas indique que l’incident a commencé le 27 janvier 2025 et s’est terminé le 18 juillet, après sa découverte le 17 juillet. Le fait que la période de l’incident se prolonge d’un jour après sa découverte peut signifier que l’accès a été interrompu lors des mesures de réponse, mais les sources publiques n’expliquent pas la raison technique de cet écart entre les dates.

Les notifications ne précisent ni comment l’auteur de l’incident a accédé à l’environnement informatique, ni quels serveurs ou applications ont été concernés, ni si un logiciel malveillant a été utilisé, ni si une rançon a été demandée, ni l’identité de cet auteur. La présente fiche s’appuie donc uniquement sur la période officielle et les catégories de données confirmées, sans attribuer l’incident à un acteur malveillant ou à une technique en particulier.

Le procureur général du Texas cite, parmi les principales catégories touchées, les noms, les numéros de sécurité sociale, les numéros de permis de conduire, les numéros de documents d’identité délivrés par les autorités, tels que les passeports ou les cartes d’identité délivrées par un État, ainsi que les dates de naissance. Les données concernées variaient selon les personnes : il ne faut donc pas supposer que toutes ces catégories ont été touchées pour chaque individu.

Le courrier destiné aux personnes concernées dans le Massachusetts indique séparément que le nom d’un destinataire pourrait être exposé, tout comme sa date de naissance et son numéro de sécurité sociale. Cette combinaison accroît le risque d’ouverture frauduleuse de nouveaux comptes, d’usurpation d’identité à des fins fiscales et d’ingénierie sociale ciblée. Les données énumérées dans la notification individuelle fournissent la description la plus précise de l’exposition de chaque destinataire.

Les sources officielles confirment les grandes catégories des données médicales et des données d’assurance maladie. Le courrier du Massachusetts cite, parmi les données potentiellement concernées, le numéro de dossier médical, l’état de santé mentale ou physique, le diagnostic, le code de diagnostic, le lieu de traitement, le nom du professionnel ou de l’établissement de soins, la date d’admission, les informations relatives aux prescriptions, le numéro d’adhérent de l’assuré et le numéro d’identification du client.

Ces données de santé peuvent entraîner des risques de demandes frauduleuses de prise en charge de soins, d’usurpation d’identité médicale et d’escroqueries ciblées fondées sur des informations réelles concernant les soins reçus. Les sources n’indiquent pas que les mêmes données de santé ont été touchées pour chaque personne. Les cartes de paiement, les comptes bancaires, les mots de passe et le contenu des e-mails n’ont pas été ajoutés aux catégories de données confirmées pour cet incident.

La fiche BR-0005191 du procureur général du Texas publie un total national exact de 28 467 personnes, dont 14 798 au Texas. Le nombre de personnes touchées au Texas est déjà compris dans le total national et n’a pas été ajouté une seconde fois à celui-ci. Le chiffre de 14 798 personnes mis en avant par source publique sur la fuite de données concerne lui aussi les résidents du Texas, et non le total pour les États-Unis.

Selon la fiche du Texas, les personnes concernées ont été informées par courrier postal aux États-Unis, par une publication dans la presse écrite et par un avis publié sur le site de l’organisme ou sur un site dédié. Le courrier du Massachusetts est daté du 30 janvier 2026. La date de publication ultérieure affichée sur le portail du Texas correspond à une mise à jour de la fiche réglementaire ou à sa publication en ligne, et non à un second incident.

Le courrier du Massachusetts indique que les personnes concernées se sont vu proposer 24 mois de surveillance du crédit auprès d’une seule agence d’évaluation du crédit, un rapport de crédit et un score de crédit par l’intermédiaire de Cyberscout, une société de TransUnion. Pour vous inscrire, utilisez uniquement le code figurant dans le courrier authentique qui vous a été adressé. Examinez vos rapports de crédit, vos opérations bancaires, vos décomptes de prestations d’assurance et vos relevés de soins afin de repérer des opérations ou des prestations que vous ne reconnaissez pas.

Si votre numéro de sécurité sociale était concerné, un gel du dossier de crédit, une alerte à la fraude et un code IRS Identity Protection PIN peuvent être indiqués. Ne communiquez pas de numéros de documents d’identité, de mots de passe ou de codes de vérification, et n’effectuez aucun paiement en réponse à des messages inattendus dont les expéditeurs prétendent représenter VNA, Cyberscout, un organisme d’assurance maladie ou un professionnel de santé. Le numéro d’assistance relatif à l’incident indiqué dans le courrier officiel est le 1-844-784-5324.