Un laboratoire du New Jersey devient la dernière statistique des violations de données dans le secteur de la santé

Centers Laboratory, un prestataire de services de diagnostic médical basé à Cedar Knolls, dans le New Jersey, a confirmé une violation de données touchant environ 540 000 personnes. L'incident remonte à une attaque perpétrée par le groupe de cybercriminalité WorldLeaks, qui a inscrit Centers Lab sur son site de fuites d'extorsion en octobre 2025, affirmant avoir dérobé plus de 1,6 million de fichiers, pour un volume total d'environ 720 Go de données.

L'ampleur de l'exposition place cet incident parmi les fuites de données de santé les plus importantes révélées cette année. Les détails rapportés indiquent que les informations compromises incluent des numéros de sécurité sociale et des dossiers médicaux, un type de données qui fait peser un risque à long terme sur les victimes, bien au-delà des gros titres initiaux. Ce qui rend cette affaire particulièrement notable, c'est la chronologie : la divulgation serait intervenue près d'un an après l'intrusion initiale, un écart qui montre combien de temps des données médicales volées peuvent circuler avant même que les patients ne soient informés.

Pourquoi les laboratoires de diagnostic restent dans la ligne de mire des attaquants

Les prestataires de diagnostic médical, comme Centers Laboratory, se trouvent à un croisement inconfortable entre des données de grande valeur et, dans bien des cas, une infrastructure de sécurité sous-dotée. Les laboratoires traitent des volumes énormes d'informations sensibles – numéros de sécurité sociale, détails d'assurance, résultats cliniques – mais ils ne bénéficient pas toujours des budgets de sécurité dédiés dont disposent les systèmes hospitaliers ou les grands assureurs. Cette combinaison en fait des cibles attrayantes pour les groupes qui mènent des campagnes d'extorsion.

Ce schéma n'est pas isolé. La violation de 1,8 million de dossiers chez NYC Health et le règlement de Mt. Baker Imaging ont tous deux impliqué des organisations de santé manipulant des données sensibles de diagnostic ou d'imagerie à une échelle qui en faisait des cibles de choix. Chaque cas renforce une tendance plus large : les attaquants se concentrent de plus en plus sur la chaîne d'approvisionnement du secteur de la santé, et pas seulement sur les plus grands réseaux hospitaliers, parce que les structures de taille moyenne ou plus petites offrent souvent des points d'entrée plus faciles tout en détenant des données suffisamment précieuses pour être monétisées.

Le mode opératoire de l'extorsion derrière la violation de données de Centers Laboratory

WorldLeaks utilise un modèle d'extorsion devenu familier : infiltrer un réseau, exfiltrer de gros volumes de données, puis menacer de les rendre publiques si aucun paiement n'est effectué. Que Centers Laboratory ait payé ou non, l'inscription sur le site de fuites du groupe suggère que les données ont été publiées ou proposées à la distribution, une pratique standard lorsque les négociations échouent ou ne sont pas engagées.

Cette approche reflète une évolution plus large des tactiques de rançongiciel et d'extorsion. Plutôt que de simplement chiffrer les systèmes, les attaquants privilégient désormais le vol de données, car cela leur donne un levier même si la victime dispose de sauvegardes solides. Les recherches sur la détection des rançongiciels ont montré que près de la moitié des victimes perdent leurs données avant même de réaliser qu'une attaque est en cours, ce qui aide à comprendre pourquoi des violations comme celle-ci peuvent passer inaperçues ou ne pas être divulguées pendant de longues périodes. Le décalage entre la compromission et la divulgation publique, apparemment proche d'un an dans ce cas, donne aux attaquants tout le temps d'exploiter ou de revendre les dossiers volés avant que les personnes concernées n'aient la moindre chance de se protéger.

Ce que cela signifie pour vous

Si vous avez utilisé les services de diagnostic de Centers Laboratory, ou reçu des soins d'un professionnel qui lui confie ses analyses, votre numéro de sécurité sociale et vos informations de santé pourraient faire partie de l'ensemble de données exposé. Comme un numéro de sécurité sociale n'expire pas et ne peut pas être réinitialisé comme un mot de passe, ce type de violation de données comporte un risque qui persiste pendant des années, et non quelques semaines.

Mesures pratiques à prendre dès maintenant :

  • Surveillez l'arrivée d'une lettre de notification de violation. Les prestataires de soins de santé sont généralement tenus d'informer directement les patients concernés ; n'ignorez pas un courrier ou un courriel prétendant provenir de Centers Laboratory ou d'un prestataire affilié.
  • Envisagez un gel de crédit. Bloquer votre crédit auprès des principales agences est l'un des moyens les plus efficaces d'empêcher les usurpateurs d'identité d'ouvrir de nouveaux comptes à l'aide d'un numéro de sécurité sociale volé.
  • Surveillez vos dossiers médicaux et vos relevés d'assurance. L'usurpation d'identité médicale, qui consiste à utiliser vos informations pour obtenir des soins ou des ordonnances, peut être plus difficile à repérer que la fraude financière.
  • Méfiez-vous des tentatives d'hameçonnage qui pourraient suivre. Des violations comme celle-ci sont souvent suivies de courriels ou d'appels frauduleux se faisant passer pour l'organisation touchée, proposant de fausses inscriptions à un « service de surveillance du crédit » conçues pour collecter encore plus de données personnelles.

Une vision plus large de la sécurité des données de santé

La violation de données de Centers Laboratory nous rappelle que la sécurité des données des patients dépend de toute une chaîne de prestataires – laboratoires, centres d'imagerie, sociétés de facturation – et pas seulement de l'hôpital ou de la clinique où les soins sont dispensés. Alors que des groupes d'extorsion comme WorldLeaks continuent de cibler ce secteur, les patients se retrouvent de plus en plus à gérer les conséquences de violations dans des organisations avec lesquelles ils n'ont peut-être jamais interagi directement.

Il n'existe aucun moyen de se protéger totalement d'une violation survenue chez un prestataire que l'on n'a pas choisi. Mais réagir rapidement une fois informé – geler son crédit, surveiller ses relevés et rester attentif aux tentatives d'hameçonnage – reste le moyen le plus efficace de limiter les dégâts. Alors que les violations de données de santé continuent de faire la une, se tenir informé de la façon dont ces incidents se déroulent, et des données réellement exposées, est la première étape pour se protéger.