Violation de données chez Waveny LifeCare Network en 2025

La source principale est l’avis de Waveny intitulé “Notification d’un incident de sécurité des données”, publié sur son propre domaine. Dans ce document, l’organisme décrit directement la perturbation du réseau survenue vers le 28 mai, le constat qu’un tiers non autorisé a accédé à certaines données, les catégories examinées, sa ligne d’assistance et les améliorations apportées à la sécurité après l’incident.

Le portail public du HHS OCR présente l’entrée consacrée à la violation de données de santé chez Waveny LifeCare Network, avec 27 113 personnes touchées. Un document de notification aux consommateurs du Massachusetts étaye les informations concernant les services de surveillance proposés gratuitement, tandis que Claim Depot renvoie aux sources officielles de l’organisme et des États et résume la chronologie ainsi que l’étendue de l’incident. Les sources concordent sur l’entité concernée, la date de l’incident, les types de données et le nombre total de personnes touchées.

Waveny a subi une perturbation de ses systèmes réseau le 28 mai ou aux alentours de cette date. L’organisme a immédiatement pris des mesures internes pour répondre à l’incident, averti les forces de l’ordre et fait appel à des spécialistes de premier plan en cybersécurité pour en examiner la nature. Selon son avis officiel, l’enquête a établi qu’un tiers non autorisé avait accédé à certaines données pendant l’incident.

Une source secondaire associe l’incident à une activité liée à un rançongiciel et à une revendication par un groupe appelé Qilin. L’avis de Waveny, qui constitue la source principale, ne nomme aucun auteur, ne précise ni la méthode d’accès initiale ni le logiciel malveillant utilisé, et ne confirme pas que des données ont effectivement été publiées sur le dark web.

Les informations susceptibles d’avoir été touchées comprennent les prénoms et noms accompagnés des adresses, les dates de naissance, les numéros de téléphone, les adresses e-mail, les numéros de sécurité sociale et les numéros de permis de conduire. Des photographies du visage pouvaient également être présentes. Les éléments variant d’une personne à l’autre, cette liste regroupe les champs potentiellement concernés et ne décrit pas un profil complet détenu pour chaque personne.

L’association du nom, de la date de naissance et du numéro de sécurité sociale (SSN) entraîne un risque important de fraude à l’ouverture de nouveaux comptes et d’usurpation d’identité à des fins fiscales. Les adresses e-mail, les numéros de téléphone et les adresses postales peuvent permettre des tentatives d’hameçonnage convaincantes, dans lesquelles les auteurs se font passer pour Waveny ou un autre organisme de santé. Une photographie du visage ne constitue pas nécessairement un gabarit biométrique, et le texte officiel ne confirme pas séparément que des gabarits de reconnaissance faciale étaient concernés.

L’avis officiel mentionne les dates d’admission, les dates de sortie, la date de décès, les numéros de dossier médical, les numéros de compte patient, les résultats d’analyses de laboratoire, les résultats d’imagerie médicale et les dossiers de santé électroniques. Les numéros de compte ou de contrat d’assurance maladie et les informations relatives à Medicare ou Medicaid faisaient également partie des données potentiellement concernées. Ces données relient directement une personne à son historique de soins.

Les identifiants médicaux et d’assurance peuvent être détournés pour obtenir des prestations frauduleuses, usurper une identité médicale ou mener des escroqueries ciblées. Si vous êtes patient, vous devriez vérifier vos portails de santé, vos récapitulatifs de facturation et vos décomptes de prestations d’assurance afin de repérer des prestations inexpliquées, des prestataires que vous ne connaissez pas ou des demandes de remboursement inconnues. Toute modification inattendue de votre dossier médical doit être signalée directement au prestataire de soins concerné.

Les champs potentiellement concernés comprennent également les informations de paiement et les numéros de comptes financiers. Le texte officiel ne précise pas si les informations de paiement désignent un numéro de carte, un enregistrement de transaction ou un autre champ financier. Il ne publie pas non plus de nom de banque ni de code d’accès à un compte.

Le nombre de personnes ou d’enregistrements touchés publié par la source officielle correspond à l’étendue déclarée de l’incident. Il ne signifie pas que chaque catégorie de données mentionnée concernait chaque personne. Claim Depot donne des exemples par État : 174 résidents du Massachusetts, 19 du Maine et neuf du Vermont. Ces sous-ensembles ne s’ajoutent pas au total national.

Waveny a pris des mesures internes pour répondre à l’incident, averti les forces de l’ordre, mené une enquête avec des spécialistes en cybersécurité et adopté des mesures supplémentaires pour renforcer la sécurité des systèmes. Les documents de notification des États proposaient aux destinataires éligibles 24 mois de surveillance du crédit et de protection de l’identité par l’intermédiaire de Cyberscout. Une ligne dédiée au 833-353-3395 a été mise en place, accessible de 9:00 à 21:00, heure de l’Est, en semaine.

Si vous avez reçu une notification, vous devriez consulter régulièrement vos rapports de crédit, vos comptes financiers, vos factures de soins et vos décomptes de prestations d’assurance. Lorsqu’un SSN ou des informations financières étaient concernés, un gel du crédit, une alerte à la fraude et un code IRS Identity Protection PIN peuvent être appropriés. Ne communiquez pas vos mots de passe, SSN, numéros d’assurance ou codes de vérification en réponse à des messages inattendus prétendant provenir de Waveny.