Incidents associés
Une base de données mal configurée chez Serviceaide, fournisseur informatique d'entreprise, a exposé des informations médicales et personnelles sensibles appartenant à environ 500 000 (483 126) patients liés à Catholic Health, un système de santé à but non lucratif basé à New York.
Serviceaide a confirmé la fuite de données dans un avis publié sur son site web, précisant que l'incident provenait d'une base de données Elasticsearch rendue publique par inadvertance. L'exposition s'est produite entre le 19 septembre et le 5 novembre 2024. La fuite a été découverte le 15 novembre 2024 et un examen complet n'a été réalisé que récemment.
Bien qu'il n'existe aucune preuve confirmée que les données aient été téléchargées ou utilisées à mauvais escient, l'entreprise a admis ne pas pouvoir exclure cette possibilité.
Quels étaient les risques ?
La base de données exposée contenait un large éventail d'informations sensibles. Selon la personne, les données pouvaient inclure :
- Noms complets
- Dates de naissance
- Données d'ordonnance
- Numéros de sécurité sociale
- Informations sur l'assurance maladie
- Informations sur le prestataire de soins de santé
- Informations sur le traitement et les soins cliniques
- Numéros de dossier médical et de compte
- Adresses e-mail, noms d'utilisateur et mots de passe
Serviceaide envoie des courriers de notification aux personnes concernées dont l'adresse postale est valide.
Avis d'expert
Darren Guccione, PDG de Keeper Security, a commenté les implications plus larges de la fuite.
« L'ampleur considérable des données médicales et personnelles exposées lors de cet incident met en évidence un problème plus vaste dans le secteur. L'évaluation complète de telles violations prend souvent des années, notamment en raison de l'évolution de la réglementation et de la difficulté de retracer l'utilisation ultérieure des données », a déclaré M. Guccione.
Il a souligné que, même s'il n'y a pas de signes immédiats de fraude, les informations exposées peuvent être réutilisées longtemps après la violation. Il est donc essentiel que les victimes prennent des mesures de protection dès maintenant.
Prochaines étapes pour les patients
Serviceaide recommande aux personnes concernées de surveiller leurs rapports de solvabilité, de modifier les mots de passe liés à leurs comptes médicaux et d'envisager de geler leur crédit. Des rapports de solvabilité gratuits sont accessibles sur AnnualCreditReport.com ou en appelant le 1-877-322-8228.
De plus amples informations sont disponibles sur le site web de chaque entreprise (https://www.serviceaide.com/notices).
Serviceaide a pris des mesures pour sécuriser la base de données exposée et indique avoir mis en place de nouveaux protocoles de sécurité afin de réduire le risque de futurs incidents. L'entreprise collabore également avec les régulateurs fédéraux, notamment le ministère de la Santé et des Services sociaux, qui a rendu publique la violation sur son portail dédié aux violations, le Bureau des droits civiques.
Cet incident illustre le défi constant que représente la sécurité des systèmes tiers dans le secteur de la santé, tout en gérant d'importants volumes de données sensibles. Bien que les prestataires de soins de santé et les fournisseurs s’efforcent de sécuriser leur infrastructure en ligne, une seule erreur de configuration peut exposer les patients à des risques à long terme.