Le procureur général de New York a conclu un accord concernant une fuite de données médicales qui a touché 13,3 millions de personnes après des défaillances de sécurité élémentaires.
Perry Johnson & Associates (PJ&A) et quatre sociétés apparentées ont accepté de verser 300 000 $ et de mettre en œuvre d'importantes réformes de sécurité suite à une violation de données ayant exposé les informations personnelles et médicales de plus de 13,3 millions de personnes. Elles s'exposent à des pénalités supplémentaires de 9,7 millions de dollars si elles ne respectent pas les termes de l'accord.
La procureure générale de New York, Letitia James, a annoncé l'accord le 6 novembre, conjointement avec les procureurs généraux du Connecticut, du Michigan et du New Jersey. Environ 4,2 millions de personnes concernées étaient des résidents de l'État de New York.
L'enquête décrit une série de défaillances : accès à distance sans authentification multifactorielle , diffusion par courriel de mots de passe quasi identiques, fichiers sensibles sans protection au niveau du fichier chiffrement et des logiciels de sécurité qui détectaient des activités malveillantes mais n'alertaient pas le personnel de sécurité.
Résultat : les entreprises n'ont découvert l'attaque que lorsque les attaquants les ont contactées le 2 mai 2023 et ont exigé un paiement.
Combien de personnes ont été touchées ?
Les fichiers de bases de données volés contenaient des enregistrements associés à plus de 13,3 millions de personnes, dont environ 4,2 millions de New-Yorkais.
Selon de précédents rapports, environ 8,95 millions de patients étaient concernés. Les documents de l'accord font désormais état d'un chiffre plus élevé, dépassant les 13,3 millions. Ce total pourrait être supérieur, car le procureur général a constaté que les pirates avaient également accédé à des fichiers stockés sur un réseau partagé contenant des informations personnelles et médicales. Cependant, les entreprises n'ont pas examiné ces fichiers pour identifier d'autres personnes touchées.
Les informations comprenaient :
- Noms, dates de naissance et adresses du domicile.
- Numéros de sécurité sociale.
- Numéros de dossier médical et de compte hospitalier.
- Informations sur l'assurance.
- Diagnostics d'admission et dates de traitement.
- Informations cliniques issues des transcriptions médicales, notamment les résultats d'examens, les médicaments, les établissements de soins et les professionnels de santé.
Vérifiez si vos données personnelles ont été divulguées.
Les notifications ont également tardé. PJ&A a commencé à contacter ses clients au sujet des fichiers de base de données volés en juillet 2023, et ces derniers ont informé les personnes concernées entre le 31 octobre 2023 et le 8 février 2024. Le procureur général de New York a conclu que les sociétés avaient enfreint les obligations légales de l'État en matière de divulgation des violations de données, dans les meilleurs délais et sans délai injustifié.
Le règlement
Bien que l'annonce fasse état d'un règlement pouvant atteindre 10 millions de dollars, les entreprises doivent verser 300 000 dollars d'amendes aux États. Le solde de 9,7 millions de dollars est suspendu et pourrait être exigible ultérieurement. L'État de New York recevra 100 000 dollars sur le premier versement. Il s'agit de paiements aux États, et non d'une indemnisation annoncée pour les patients.
Les informations divulguées pourraient s'avérer précieuses pour les criminels. Nos recherches ont révélé que des dossiers d'identité volés se vendaient à seulement 95 centimes l'unité sur le dark web .
L’accord prévoit également d’importantes modifications des mesures de sécurité pour les sociétés actives concernées, notamment :
- L'authentification multifacteur (MFA) pour les comptes d'utilisateurs individuels, y compris les comptes d'administrateur, et l'accès au réseau distant.
- Gestion renforcée des mots de passe et accès limité aux seules fonctions nécessaires aux employés.
- Cryptage des informations personnelles et des données de santé protégées.
- Système de surveillance qui alerte automatiquement le personnel de sécurité en cas d'activité suspecte.
- Évaluations annuelles des risques et tests d'intrusion.
- Segmentation du réseau et mesures de détection et de prévention des transferts de données non autorisés.
- Des procédures écrites de réponse aux incidents et des règles plus claires pour la conservation et l’élimination sécurisée des informations sensibles .
Compte tenu de la négligence, du nombre de données et de personnes exposées, pensez-vous que les entreprises s'en soient tirées à bon compte ? Faites-nous part de votre avis dans les commentaires.
Comment rester en sécurité
Une violation de données ne signifie pas automatiquement que quelqu'un a fait un usage abusif de vos informations, mais vous pouvez prendre les précautions suivantes en attendant d'avoir plus de détails :
- Vérifiez indépendamment les messages inattendus. Ne vous laissez pas influencer par un message concernant une violation de données : ne cliquez pas sur un lien, ne partagez pas d’informations sensibles et n’effectuez aucun paiement. Consultez directement le site web officiel de votre professionnel de santé ou de votre assureur, ou utilisez les coordonnées auxquelles vous faites déjà confiance.
- Examinez attentivement vos factures médicales et vos relevés d'assurance. Recherchez les rendez-vous, examens, ordonnances ou services que vous n'avez pas reçus. La Federal Trade Commission (FTC) considère les factures médicales inhabituelles et les éléments inattendus sur le relevé de prestations, qui explique le traitement de votre demande de remboursement par votre assureur, comme des signes avant-coureurs d'usurpation d'identité médicale. Signalez toute anomalie à votre professionnel de santé et à votre assureur.
- Consultez vos rapports de crédit. Repérez les comptes ou les dettes inconnus et contestez les erreurs. Des rapports gratuits sont disponibles sur AnnualCreditReport.com .
- Agissez si vous constatez des signes d'usurpation d'identité. Consultez le site IdentityTheft.gov pour obtenir des conseils sur la procédure à suivre. Si une personne a reçu des soins en votre nom, demandez aux professionnels de santé concernés une copie de votre dossier médical et exigez une rectification écrite.
L’usurpation d’identité médicale n’est pas seulement un problème financier ; elle peut aussi avoir des conséquences sur vos soins. Une personne utilisant votre identité pour obtenir des soins ou soumettre des demandes de remboursement à l’assurance maladie pourrait introduire des informations erronées dans votre dossier médical. Vérifier vos relevés médicaux et signaler toute anomalie peut vous aider à détecter cette utilisation frauduleuse.
Soyons réalistes, une fenêtre de navigation privée a ses limites.
Intrusions de données, transactions sur le dark web, fraudes à la carte bancaire : Malwarebytes Identity Theft Protection vous protège contre tout cela, vous alerte rapidement et inclut une assurance contre l’usurpation d’identité.
