Violation de données de VITAS Hospice Services en 2025

La source principale est la notification de violation de données de quatorze pages envoyée par VITAS Hospice Services aux personnes concernées. Elle décrit directement la date de découverte, le compte compromis du prestataire, la période d’accès, le téléchargement des données, l’enquête, les améliorations de sécurité et les vingt-quatre mois de services de protection.

La deuxième source est le portail des violations de données du HHS OCR, qui confirme le total de 319 177 personnes figurant dans le registre fédéral ainsi que les catégories attribuées à l’incident. La troisième est l’article de SecurityWeek du 9 décembre 2025, qui décrit de manière indépendante l’étendue de l’incident, la méthode d’accès et le téléchargement des données des patients, à partir de la notification de VITAS et du registre fédéral. HIPAA Journal corrobore la même chronologie et les mêmes catégories de données.

Le tiers non autorisé a compromis un compte appartenant à un prestataire de VITAS et l’a utilisé pour accéder à certains systèmes de VITAS. L’organisme a découvert l’incident le 24 octobre, tandis que l’analyse forensique a établi que l’accès non autorisé avait eu lieu entre le 21 septembre environ et le 27 octobre. Pendant cette période, des informations concernant certains patients actuels et anciens ont été consultées et téléchargées.

Après cette découverte, VITAS a pris des mesures pour sécuriser ses systèmes, ouvert une enquête interne et fait appel à des experts externes. La fin approximative de l’accès, trois jours après la découverte, correspond à la chronologie établie au terme de l’analyse forensique. La date retenue pour l’incident repose sur l’activité technique la plus ancienne pouvant être vérifiée à partir des sources publiques.

Les données variaient selon les personnes et pouvaient comprendre les noms, adresses, numéros de téléphone, dates de naissance, numéros de sécurité sociale, numéros de permis de conduire, coordonnées des proches, diagnostics, médicaments, résultats d’analyses de laboratoire, affections, informations sur les traitements, informations d’assurance maladie et autres informations personnelles. La combinaison de ces données est particulièrement sensible au regard des risques d’usurpation d’identité et de fraude médicale.

VITAS n’a pas indiqué que toutes ces données étaient présentes pour chacune des 319 177 personnes. Le téléchargement des données est confirmé par la lettre de l’entreprise, mais les sources n’établissent pas qu’elles ont été rendues publiques, vendues ou transférées à un groupe identifié de cybercriminels spécialisé dans les rançongiciels.

Le nombre de personnes ou d’enregistrements concernés publié par la source officielle représente l’étendue déclarée de l’incident. Il ne signifie pas que chaque catégorie de données mentionnée concernait chaque personne. SecurityWeek et d’autres publications spécialisées dans la sécurité du secteur de la santé rapportent le même total fédéral. Ce chiffre correspond au nombre de personnes visées par la notification, et non au nombre de fichiers, de visites de soins palliatifs, d’ordonnances, de résultats d’analyses de laboratoire ou de données individuelles.

VITAS Hospice Services fait partie du réseau national de soins palliatifs VITAS Healthcare. L’incident a touché des informations concernant des patients actuels et anciens, mais les effectifs respectifs de ces groupes et le nombre de personnes concernées par chaque catégorie de données n’ont pas été divulgués. Cette fiche ne présente donc pas de ventilation de ces totaux.

VITAS a déclaré avoir sécurisé ses systèmes, ouvert une enquête interne, travaillé avec une entreprise de premier plan en cybersécurité et averti les forces de l’ordre. L’organisme a également réexaminé et renforcé la supervision de ses prestataires et ses protocoles de protection des données afin de réduire le risque d’un incident similaire.

À la date de la lettre, VITAS n’avait connaissance d’aucune utilisation abusive des informations personnelles. Les personnes concernées ont néanmoins bénéficié de vingt-quatre mois gratuits de surveillance du dossier de crédit, de protection de l’identité et de surveillance des données médicales par l’intermédiaire d’Epiq. Cette offre comprend une aide à la restauration de l’identité, une assistance au gel du dossier de crédit et des alertes portant sur certains indicateurs d’exposition des données d’identité médicale.

Si vous avez reçu la notification, vous devriez activer le service Epiq dans le délai d’inscription indiqué dans la lettre et examiner régulièrement vos rapports de crédit, les changements d’adresse, les décomptes de prestations de votre assurance maladie et vos historiques de soins afin de repérer des comptes ou des activités que vous ne reconnaissez pas. Toute entrée suspecte devrait être signalée à l’organisme concerné par un canal officiel.

La lettre de VITAS précise que l’organisme n’enverra aucune communication électronique au sujet de l’incident et demande aux destinataires de ne pas transmettre d’informations personnelles par voie électronique. N’ouvrez pas de liens inattendus prétendant provenir de VITAS, d’Epiq, d’un assureur ou d’un prestataire de soins; prenez d’abord contact en utilisant un numéro vérifié. Si vous recevez un message suspect ou constatez une activité suspecte sur un compte, vérifiez le message ou l’activité auprès de l’organisme en utilisant ses coordonnées officielles actuelles, sans utiliser les liens contenus dans le message.