Règlement de 3,3 millions de dollars pour la violation de données de Mt. Baker Imaging : 340 000 patients touchés

Un règlement de 3,3 millions de dollars est en cours de distribution pour résoudre un recours collectif contre Mt. Baker Imaging et Northwest Radiologists, deux prestataires de soins de santé de l’État de Washington victimes d’une attaque par ransomware en janvier 2025 qui a exposé les informations de santé protégées (PHI) de plus de 340 000 patients. Ce cas illustre parfaitement un schéma de menace qui ne cesse de s’étendre dans le secteur de la santé aux États-Unis : des gangs de rançongiciels ciblant les centres d’imagerie médicale et les systèmes de facturation, là où les données sensibles des patients sont concentrées.

Pour les patients concernés, ce règlement offre une certaine compensation financière. Mais il soulève aussi une question plus large : que peuvent réellement faire les individus pour réduire leur exposition lorsque les prestataires de soins restent des cibles aussi persistantes pour les ransomwares ?

Ce qui s’est passé chez Mt. Baker Imaging

Mt. Baker Imaging est un centre d’imagerie médicale opérant dans l’État de Washington. Il collabore avec Northwest Radiologists, une organisation distincte qui interprète les images médicales pour son compte. Les deux entités partagent des données de patients dans le cadre de ce flux de travail, de sorte qu’une violation chez l’une entraîne une exposition via l’autre.

En janvier 2025, une cyberattaque a été détectée sur les systèmes des deux organisations. Les attaques par ransomware contre les prestataires de soins suivent généralement un schéma familier : les attaquants accèdent aux réseaux internes, se déplacent latéralement dans les systèmes, exfiltrent les données sensibles, puis chiffrent les fichiers pour extorquer la victime. La violation a touché plus de 340 000 patients, et le recours collectif qui en a résulté alléguait que les organisations n’avaient pas mis en œuvre les mesures de sécurité adéquates pour protéger les informations des patients.

Le règlement de 3,3 millions de dollars ne constitue pas une reconnaissance de faute, ce qui est habituel dans ce type de résolution d’action collective. Les membres du groupe qui déposent des réclamations valides avant la date limite du 19 août 2026 pourront être éligibles à une indemnisation.

Pourquoi les prestataires d’imagerie médicale sont des cibles privilégiées pour les ransomwares

Les centres d’imagerie médicale se situent à une intersection intéressante entre nécessité clinique et sensibilité des données. Ils détiennent des images diagnostiques, des dossiers de référence, des informations de facturation, des détails d’assurance et des historiques médicaux complets. Contrairement à une pharmacie ou à un cabinet de généraliste, les centres d’imagerie accueillent également des patients adressés par plusieurs prestataires externes, ce qui rend leurs bases de données particulièrement volumineuses et diversifiées.

Les groupes de ransomware le savent bien. Le secteur de la santé a été l’un des plus ciblés par les rançongiciels au niveau mondial ces dernières années, et les centres d’imagerie sont spécifiquement apparus dans plusieurs incidents très médiatisés. La combinaison de dépendances à des logiciels hérités, de relations complexes avec les fournisseurs (comme l’arrangement entre Mt. Baker et Northwest Radiologists), et de la pression opérationnelle pour rester en ligne à tout prix rend ces organisations à la fois attractives et vulnérables.

Alors que les ransomwares continuent de dominer les menaces de cybersécurité dans le secteur de la santé, les patients subissent une part disproportionnée des conséquences à long terme, notamment le risque d’usurpation d’identité, la fraude à l’assurance et l’exposition d’informations diagnostiques sensibles qui peuvent affecter l’emploi ou les décisions de couverture.

Ce que cela signifie pour vous

Si vous avez reçu des services d’imagerie par l’intermédiaire de Mt. Baker Imaging ou de Northwest Radiologists avant ou aux alentours de janvier 2025, vous pourriez être membre du groupe et éligible pour déposer une réclamation. Consultez les avis officiels de règlement et les documents judiciaires pour connaître les critères d’éligibilité et les instructions de soumission.

Au-delà de ce règlement spécifique, l’incident illustre une dure réalité : les patients ne peuvent pas contrôler la manière dont un hôpital ou un centre d’imagerie sécurise son réseau interne. La violation chez Mt. Baker Imaging s’est entièrement produite au sein de l’infrastructure du prestataire. Aucune action entreprise par un patient sur son propre appareil ou son réseau domestique n’aurait pu l’empêcher. Cette distinction est importante lorsque l’on évalue quelles mesures de sécurité personnelle sont réellement utiles.

Ce que les patients peuvent contrôler, c’est leur propre comportement lorsqu’ils interagissent avec les portails de santé et les services numériques de soins. Ces préoccupations sont distinctes d’une violation côté prestataire, mais elles méritent néanmoins d’être prises en compte :

Pratiques respectueuses de la vie privée pour la gestion de vos données médicales en ligne :

  • Utilisez des mots de passe forts et uniques pour chaque portail patient. Les portails de santé sont de plus en plus ciblés par des attaques de credential stuffing qui exploitent les mots de passe réutilisés issus d’autres violations. Un gestionnaire de mots de passe rend cela gérable.
  • Activez l’authentification multifacteur (MFA) partout où elle est proposée. De nombreux portails patients prennent désormais en charge la MFA. L’activer signifie qu’un mot de passe volé seul ne suffit pas à un attaquant pour accéder à vos dossiers.
  • Soyez prudent sur les réseaux Wi-Fi publics ou partagés lorsque vous accédez à des portails patients. Sur des réseaux non fiables, votre connexion à un site web peut être observée par d’autres personnes sur le même réseau. Un VPN chiffre le trafic entre votre appareil et Internet, ce qui réduit le risque d’interception en transit. Il s’agit d’une protection significative pour les connexions aux portails en particulier, mais elle est totalement distincte de ce qui s’est produit dans la violation de Mt. Baker Imaging, qui a eu lieu sur les systèmes internes du prestataire.
  • Examinez régulièrement vos relevés de prestations. Les réclamations médicales frauduleuses effectuées à l’aide d’informations de santé volées apparaissent souvent dans ces relevés avant que les patients ne remarquent quoi que ce soit d’anormal.
  • Demandez périodiquement votre dossier médical et vérifiez-en l’exactitude. Les erreurs introduites par une fraude d’identité ou une manipulation des données peuvent affecter les soins futurs et les décisions d’assurance. De nombreux prestataires sont tenus de fournir les dossiers sur demande, et les examiner est un moyen concret de vérifier les informations détenues.

Points à retenir et actions concrètes

Le règlement de Mt. Baker Imaging rappelle que les violations de données de santé entraînent de réelles conséquences financières et personnelles, et que les patients concernés disposent d’un recours juridique lorsque les organisations manquent à leurs obligations de sécurité. Si vous pensez être membre du groupe, renseignez-vous sur la procédure de réclamation avant la date limite d’août 2026.

Plus largement, améliorer votre propre hygiène numérique concernant les portails de santé vaut la peine, indépendamment de toute violation particulière. Des mots de passe uniques, la MFA et la prudence sur les réseaux publics réduisent votre exposition là où vous pouvez réellement agir. Pour les risques que vous ne pouvez pas contrôler, comme la manière dont un prestataire sécurise son réseau interne, rester informé des violations qui concernent vos dossiers et surveiller votre activité d’assurance et de crédit reste la réponse la plus pragmatique.

Les prestataires de soins de santé ont l’obligation légale et éthique de protéger les données des patients. Lorsqu’ils faillissent, des règlements comme celui-ci les tiennent pour responsables. Mais la vigilance des patients constitue une couche tout aussi importante dans le tableau d’ensemble.