Community Health Center( CHC), l’un des principaux prestataires de soins de santé du Connecticut, informe plus d’un million de patients 1 d’une violation de données qui a eu un impact sur leurs données personnelles et de santé.
L’organisation à but non lucratif fournit des services médicaux, dentaires et de santé mentale primaires à plus de 145 000 patients actifs.
CHC a déclaré jeudi dans un document déposé auprès du procureur général du Maine que des attaquants inconnus avaient eu accès à son réseau à la mi-octobre 2024, une violation découverte plus de deux mois plus tard, le 2 janvier 2025.
Alors que les auteurs de la menace ont volé des fichiers contenant les informations personnelles et de santé des patients appartenant à 1 060 936 personnes, l’organisation de soins de santé affirme qu’elle n’a chiffré aucun système compromis et que la faille de sécurité n’a pas eu d’impact sur ses opérations.
Les enquêteurs embauchés pour évaluer l’impact de l’incident et sécuriser les systèmes de CHC ont découvert qu ‘ « un pirate informatique qualifié » était à l’origine de l’attaque.
« Heureusement, le pirate criminel n’a supprimé ni verrouillé aucune de nos données, et l’activité du criminel n’a pas affecté nos opérations quotidiennes. Nous pensons que nous avons arrêté l’accès du pirate criminel en quelques heures et qu’il n’y a actuellement aucune menace pour nos systèmes », a ajouté CHC.
Selon les personnes touchées, y compris « les patients actuels et anciens et toutes les personnes qui ont reçu un test COVID ou un vaccin dans une clinique du CSC », les assaillants ont volé une combinaison de:
- personnels (noms, dates de naissance, adresses, numéros de téléphone, courriels, numéros de sécurité sociale) ou
- informations sur la santé (diagnostics médicaux, détails du traitement, résultats des tests et assurance maladie.
Un porte-parole du CCPO n’était pas immédiatement disponible lorsque Breachtrace a demandé plus de détails sur l’incident.
Alors que CHC a déclaré que les pirates ne chiffraient aucun de ses systèmes, de plus en plus d’opérations de ransomware ont changé de tactique pour devenir des groupes d’extorsion de vol de données ces dernières années.
Par exemple, le gang de ransomwares BianLian a progressivement abandonné le cryptage des fichiers après qu’Avast a publié un décrypteur gratuit en janvier 2023. Un avis conjoint publié par la CISA, le FBI et le Centre australien de cybersécurité l’a également confirmé en novembre 2024.
Cette semaine, le New York Blood Center( NYBC), l’une des plus grandes organisations indépendantes de collecte et de distribution de sang au monde, a également révélé qu’une attaque de ransomware dimanche l’avait forcé à reprogrammer certains rendez-vous.
Au cours du week-end, UnitedHealth a également révélé qu’environ 190 millions d’Américains avaient vu leurs données personnelles et de santé volées lors de l’attaque de ransomware Change Healthcare de l’année dernière, doublant presque le chiffre de 100 millions divulgué en octobre.
En réponse à cette vague de violations massives de la sécurité des soins de santé, le département américain de la Santé et des Services sociaux (HHS) a proposé des mises à jour de HIPAA (abréviation de Health Insurance Portability and Accountability Act de 1996) fin décembre pour sécuriser les données de santé des patients.