Violation de données de Weiser Memorial Hospital en 2024

L’avis officiel de Weiser Memorial Hospital rattache à un même événement la découverte du 4 septembre 2024 et la possible récupération de données à cette date, la fin de l’examen des fichiers le 21 avril 2025, ainsi que les catégories d’informations mentionnées dans l’avis. La fiche du HHS OCR confirme l’identité de l’organisation, un établissement de santé de l’Idaho, ainsi que le total actuel de 59 990 personnes.

Des articles indépendants spécialisés dans la sécurité du secteur de la santé décrivent également l’événement du 4 septembre, l’exfiltration de données, la fin de l’examen le 21 avril et le nombre de 59 990 personnes concernées. Un premier total publié de 34 249 personnes a été porté à 59 990 dans la mise à jour ultérieure du HHS; ces chiffres n’ont pas été additionnés.

L’hôpital a détecté une activité inhabituelle sur son réseau le 4 septembre, sécurisé ses systèmes et fait appel à des spécialistes de la cybersécurité pour déterminer la nature et l’ampleur de l’événement. L’enquête a confirmé qu’un tiers non autorisé avait accédé à des fichiers du réseau et pourrait les avoir récupérés.

Un compte rendu indépendant de l’événement attribue l’attaque au groupe cybercriminel EMBARGO, spécialisé dans les attaques par rançongiciel, et rapporte que celui-ci affirme avoir dérobé 200 GB de données. La déclaration officielle de l’hôpital confirme une possible récupération non autorisée de données, mais ne nomme pas elle-même l’auteur, ne vérifie pas le volume revendiqué, ne révèle pas la méthode d’accès initial et n’identifie aucune vulnérabilité technique.

Selon les personnes, les informations potentiellement touchées comprenaient les noms, les dates de naissance, les numéros de sécurité sociale ou d’autres numéros d’identification délivrés par les autorités. Les catégories de données de santé mentionnées comprenaient les diagnostics, les informations sur les traitements ou les actes médicaux, ainsi que les informations relatives à Medicare, à Medicaid ou à l’assurance maladie.

L’hôpital précise que les catégories de données concernées n’étaient pas les mêmes pour chaque personne. Les adresses e-mail, les mots de passe, les cartes de paiement et les comptes bancaires ne figurent pas dans cette fiche, car l’avis officiel ne confirme pas que ces catégories étaient concernées.

L’exposition de numéros d’identification accompagnés d’informations sur les diagnostics, les traitements et l’assurance peut accroître le risque d’usurpation d’identité, de demandes frauduleuses de remboursement de soins et d’escroqueries ciblées. Les numéros de sécurité sociale et les numéros d’identification délivrés par les autorités sont difficiles à changer; une surveillance attentive peut donc être nécessaire à long terme.

Une personne qui connaît un diagnostic, un acte médical ou un détail d’assurance réel peut rédiger un message plus convaincant. La possession de ces informations ne prouve pas que l’expéditeur représente Weiser Memorial Hospital, un médecin ou un assureur. Toute demande inattendue doit être vérifiée par un canal indépendant.

Weiser Memorial Hospital a sécurisé ses systèmes, mené une enquête avec des spécialistes externes de la cybersécurité et procédé à un examen approfondi pour identifier les fichiers et les personnes concernés. Cet examen s’est achevé le 21 avril 2025, et des courriers de notification ont été envoyés aux personnes dont l’adresse postale était disponible.

L’hôpital a déclaré avoir mis en place des mesures supplémentaires pour renforcer la sécurité du réseau et ouvert un centre d’appels. Les personnes éligibles se sont vu proposer une surveillance du crédit, un rapport de crédit et des services liés au score de crédit; les sources publiques n’affirment pas que ces mesures ont permis d’identifier la cause technique initiale.

Si vous avez reçu une notification, examinez régulièrement vos rapports de crédit, vos comptes financiers et vos décomptes de prestations d’assurance maladie pour repérer des comptes, des opérations, des services ou des demandes de remboursement que vous ne reconnaissez pas. Signalez tout élément suspect à l’établissement financier concerné, à l’assureur maladie concerné et, si nécessaire, aux autorités compétentes.

Ne communiquez pas votre numéro de sécurité sociale, vos informations de santé, vos mots de passe ou vos codes de vérification à usage unique en réponse à des e-mails, des messages ou des appels inattendus. Si une demande prétend provenir de l’hôpital, vérifiez-la à l’aide des coordonnées figurant sur le site officiel de Weiser Memorial Hospital, plutôt qu’en utilisant un lien ou un numéro de téléphone contenu dans le message.