La société de gestion des ordonnances Sav-Rx avertit plus de 2,8 millions de personnes aux États-Unis qu’elle a subi une violation de données, déclarant que leurs données personnelles ont été volées lors d’une cyberattaque en 2023.

A & A Services, faisant affaire sous le nom de Sav-RX, est une société de gestion des prestations pharmaceutiques (PBM) qui fournit des services de gestion des médicaments sur ordonnance aux employeurs, syndicats et autres organisations à travers les États-Unis.

Vendredi, la société a informé le bureau du procureur général du Maine d’un incident de cybersécurité survenu en octobre 2023 qui a exposé les données de 2 812 336 personnes.

« Le 8 octobre 2023, nous avons identifié une interruption de notre réseau informatique. En conséquence, nous avons immédiatement pris des mesures pour sécuriser nos systèmes et engagé des experts tiers en cybersécurité », peut-on lire dans la notification envoyée aux personnes touchées.

« Nos systèmes de technologie de l’information (« système informatique ») ont été restaurés le jour ouvrable suivant et les ordonnances ont été expédiées à temps sans délai. »

L’impact sur ses activités commerciales a été réduit au minimum, sans retard dans l’expédition des ordonnances médicales ou des réclamations pharmaceutiques.

Alors que leurs systèmes ont été restaurés en une journée, il a fallu beaucoup plus de temps pour déterminer si des données personnelles avaient été volées.

Selon la notification de violation de données, leur enquête a duré près de huit mois et s’est achevée le 30 avril 2024, avec l’aide d’experts tiers.

Cette enquête a révélé que les pirates informatiques avaient accédé pour la première fois aux données des clients le 3 octobre 2023.

« Dans le cadre de l’enquête, nous avons appris qu’un tiers non autorisé a pu accéder à certains systèmes non cliniques et a obtenu des fichiers contenant des informations personnelles », informe Sav-Rx.

Les types de données exposées dans cet incident comprennent:

  • Nom complet
  • Date de naissance
  • Numéro de Sécurité Sociale (SSN)
  • Adresse e-mail
  • Adresse physique
  • Numéro de téléphone
  • Données d’éligibilité
  • Numéro d’identification d’assurance

Dans une page FAQ sur son site, Sav-Rx explique qu’il lui a fallu huit mois pour envoyer des avis d’infraction aux clients touchés car leur priorité initiale était de minimiser l’interruption des soins aux patients avant de lancer une enquête sur l’impact de l’incident.

Sav-Rx a également noté qu’il ne s’était pas précipité pour conclure les enquêtes, s’efforçant d’obtenir des résultats aussi précis que possible. Il indique que ses clients du plan de santé (organisations touchées) ont été informés plus tôt, entre le 30 avril et le 2 mai 2024.

Sav-Rx a ensuite conclu une entente avec ses clients d’affaires pour aviser les personnes touchées, et par conséquent, les lettres ont été distribuées à la fin de la semaine dernière.

La société note qu’elle ne disposait pas de suffisamment d’informations de contact pour informer certaines personnes dans de nombreux cas, de sorte que les gens sont priés de confirmer s’ils sont concernés en appelant le 888-326-0815.

Parmi les nouvelles mesures de sécurité mises en œuvre par Sav-Rx en réponse à cet incident figurent la mise en place d’un centre d’opérations de sécurité 24h / 24 et 7j / 7, la mise en œuvre d’une authentification multifacteur sur les comptes critiques, la segmentation du réseau, le géoblocage amélioré, la mise à niveau des pare-feu et des commutateurs, le renforcement de la sécurité Linux et cryptage BitLocker.

Bien que l’entreprise n’ait actuellement aucune preuve que les informations volées aient été mal utilisées ou diffusées sur le Dark Web, elle a joint des instructions dans les lettres sur l’inscription à un service de surveillance du crédit et de protection contre le vol d’identité de deux ans.

Étant donné que les données volées contiennent des informations sensibles pouvant être utilisées pour le vol d’identité, il est fortement conseillé aux personnes concernées de surveiller leurs rapports de solvabilité pour détecter toute activité frauduleuse.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *