Violation de données chez ZenPatient en 2025

La principale pièce justificative est l’avis de ZenPatient aux consommateurs, daté du 17 juillet 2026 et publié dans le dossier du procureur général de Californie. Cette lettre, émise au nom de l’entreprise, fait explicitement état de la découverte d’une activité suspecte, de la période d’accès non autorisé ou de copie, de l’examen complet des données, du processus de notification, du signalement aux forces de l’ordre fédérales et des services de protection de l’identité proposés.

Une déclaration réglementaire au Texas corrobore le nombre de 1 179 résidents de cet État ainsi que les catégories de données concernées par l’incident. Claim Depot fait le lien entre les dossiers de Californie et du Texas et résume de manière indépendante les dates et le périmètre de l’incident, qui concerne des noms, des adresses, des dates de naissance et des informations médicales. Les sources concordent sur l’organisation concernée, la période d’accès, les résultats de l’examen du 1er juillet et le début des notifications le 17 juillet.

ZenPatient a observé une activité suspecte sur son réseau vers le 27 février. Une enquête menée avec des spécialistes externes en cybersécurité et en protection des données a établi qu’un ou plusieurs acteurs non autorisés avaient accédé à certaines données de ZenPatient ou les avaient copiées entre le 5 décembre et le 12 février. La lettre officielle présente ces deux possibilités et n’affirme pas que toutes les données ont été copiées avec certitude.

Les documents publics ne précisent ni le mode d’accès initial, ni l’identité des acteurs, ni l’existence d’un logiciel malveillant ou d’une demande de rançon, ni la raison pour laquelle l’accès a pris fin avant sa découverte. Les nombres de personnes, les champs de données et les revendications d’acteurs malveillants qui n’ont pas été vérifiés ne sont pas retenus dans le périmètre public de l’incident.

Le résumé de l’incident fondé sur les dossiers réglementaires mentionne les noms, les adresses et les dates de naissance parmi les champs de données personnelles concernés. Le modèle officiel de lettre présente le nom du destinataire comme un élément fixe et les autres champs dans une section variable propre à chaque personne. Il ne faut donc pas supposer que la même combinaison de données a été touchée pour chaque individu.

Les noms, les adresses et les dates de naissance peuvent faciliter l’hameçonnage ciblé, les vérifications frauduleuses de comptes et l’ingénierie sociale. Les numéros de sécurité sociale, les permis de conduire et les autres documents mentionnés dans l’annexe consacrée à la protection sont des exemples généraux de pièces pouvant être nécessaires pour geler un dossier de crédit. Il ne s’agit pas de champs de données dont l’implication dans l’incident a été confirmée.

Il a été confirmé que des informations médicales figuraient parmi les catégories de données potentiellement concernées par cet incident impliquant un prestataire de santé numérique et de télésanté. Les données médicales peuvent révéler la relation d’une personne avec un prestataire de soins et présentent des risques d’utilisation abusive de l’identité à des fins médicales, d’escroqueries ciblées ou de déductions portant sur des éléments sensibles. Les sources publiques n’indiquent pas que le dossier de chaque personne contenait des informations médicales.

La source ne mentionne pas séparément de diagnostic, de traitement, d’ordonnance, de résultat de laboratoire, de consultation de télésanté, de numéro de dossier médical, d’informations d’assurance maladie, de nom de médecin ou de date de prestation. La catégorie « informations médicales » doit donc être interprétée uniquement au niveau de précision publié par les sources. Les destinataires devraient consulter leurs portails de santé et les relevés de leurs prestataires de soins pour repérer des prestations ou des modifications qu’ils ne reconnaissent pas.

Le dossier BR-0005188 du procureur général du Texas fait état de 15 750 personnes touchées à l’échelle nationale, dont 1 179 résidents du Texas. Les quelque 52 résidents du Rhode Island mentionnés dans la lettre aux consommateurs sont inclus dans le total national et n’y ont pas été ajoutés.

ZenPatient a déclaré qu’à la date de la lettre, l’entreprise ne disposait d’aucune preuve d’une utilisation abusive effective ou d’une tentative d’utilisation abusive des informations de quiconque à la suite de l’événement. Ce constat, limité à cette date, ne garantit pas l’absence d’utilisation abusive à l’avenir. Compte tenu de la possibilité d’une copie et de la présence d’informations médicales dans le périmètre de l’incident, les destinataires devraient continuer à surveiller toute activité inhabituelle sur leurs comptes financiers, de crédit et de santé.

L’entreprise a sécurisé son environnement, mené une enquête approfondie et un examen complet des données avec des spécialistes externes, informé les forces de l’ordre fédérales et les autorités de régulation compétentes, réexaminé ses politiques existantes et mis en place des mesures de cybersécurité supplémentaires. Les personnes éligibles se sont vu proposer 12 mois gratuits de surveillance du crédit et de protection contre l’usurpation d’identité avec Experian IdentityWorks, l’inscription devant être effectuée au plus tard le 31 octobre 2026.

Les destinataires devraient s’inscrire uniquement avec le code figurant dans leur lettre et examiner leurs rapports de crédit ainsi que l’activité de leurs comptes de santé pour repérer des transactions, des demandes de consultation de leur dossier de crédit ou des prestations qu’ils ne reconnaissent pas. Une ligne d’assistance est disponible au 833-931-4343, de 8:00 du matin à 8:00 du soir, heure du Centre, du lundi au vendredi. Ne communiquez pas d’informations de santé, de mots de passe ou de codes de vérification en réponse à des messages inattendus prétendant provenir de ZenPatient.