Quest Diagnostics a informé les autorités de régulation qu'une partie non autorisée a accédé à l'un de ses systèmes et que « certains dossiers patients » pourraient être concernés. Cette divulgation, faite dans un dépôt réglementaire et rapportée par SecurityWeek, porte sur le Quanum Lab Services Manager, une plateforme où certains clients peuvent passer des commandes de tests. Les détails restent limités, mais l'affaire de la violation de données de Quest Diagnostics et des dossiers patients offre déjà des leçons utiles à toute personne ayant déjà fait des analyses sanguines ou d'autres tests de laboratoire aux États-Unis.
Ce que Quest a divulgué au sujet de la violation de Quanum
Selon le rapport source, Quest Diagnostics a signalé un accès non autorisé au Quanum Lab Services Manager dans un dépôt réglementaire. La plateforme est utilisée par certains clients, c'est-à-dire des prestataires de soins et des organisations similaires, pour passer des commandes de tests de laboratoire. Il ne s'agit pas d'une application grand public dans laquelle la plupart des patients se connectent eux-mêmes.
L'entreprise a déclaré croire que certains dossiers patients étaient concernés. La couverture du dépôt indique également que l'ampleur complète reste en cours d'investigation. Certaines publications sur les réseaux sociaux circulant à propos de l'incident formulent des affirmations plus larges, notamment sur les types de données exposées. Étant donné que le dépôt lui-même n'est décrit qu'en termes généraux, ces affirmations doivent être traitées avec prudence jusqu'à ce que Quest ou les autorités de régulation publient davantage de détails.
Ce que nous pouvons affirmer avec certitude est limité : une plateforme de commande destinée aux clients a fait l'objet d'un accès non autorisé, certains dossiers patients seraient concernés et l'enquête est en cours. Les lecteurs doivent s'attendre à ce que la situation évolue à mesure que l'entreprise en apprend davantage.
Pourquoi les plateformes de commande de tests constituent un point faible pour la confidentialité des soins de santé
La plupart des gens considèrent un laboratoire comme une organisation unique. En pratique, un test implique une chaîne d'acteurs : le cabinet de votre médecin, le laboratoire, les systèmes de facturation et les logiciels qui les connectent. Des portails comme Quanum existent pour que des clients externes puissent envoyer des commandes et recevoir des informations, ce qui signifie qu'ils contiennent des données patients par conception et sont accessibles par de nombreux utilisateurs depuis de nombreux endroits.
Cette combinaison crée un risque. Chaque client connecté représente un ensemble supplémentaire d'identifiants, d'appareils et de membres du personnel susceptibles d'être ciblés. Un système conçu pour la commodité à travers de nombreuses organisations constitue également un point d'accès unique précieux pour un attaquant. Vous n'avez peut-être jamais entendu parler de la plateforme, et pourtant vos dossiers peuvent y transiter simplement parce qu'un prestataire a choisi un laboratoire particulier.
C'est aussi pourquoi les patients apprennent souvent une violation de manière indirecte. L'organisation avec laquelle vous avez traité directement n'est peut-être pas celle qui a été compromise, de sorte que les notifications peuvent provenir d'une entreprise que vous ne reconnaissez pas.
Ce que cela signifie pour vous
Si vous avez utilisé Quest Diagnostics, directement ou par l'intermédiaire d'un médecin, le message pratique est de rester vigilant plutôt que de paniquer. Tous les patients ne sont pas concernés, et l'entreprise n'a pas publié de liste complète des données exposées.
Voici ce qu'il faut faire maintenant :
- Surveillez votre courrier et vos e-mails pour une lettre de notification. Les organisations qui subissent une violation affectant des informations personnelles sont généralement tenues de notifier les personnes concernées. Lisez attentivement toute notification et conservez-en une copie.
- Envisagez un gel de crédit. Le gel est gratuit et limite la capacité de quelqu'un à ouvrir un nouveau crédit en votre nom. C'est une précaution raisonnable si une notification indique que des détails identifiants étaient concernés.
- Soyez sceptique face aux messages inattendus concernant votre santé. Les SMS, appels ou e-mails qui mentionnent des résultats d'analyses, de la facturation ou « la vérification de vos dossiers » peuvent être des tentatives d'hameçonnage. Contactez Quest ou votre prestataire en utilisant un numéro de téléphone ou un site web que vous trouvez vous-même, et non celui fourni dans le message.
- Examinez vos comptes et vos relevés. Vérifiez l'activité de vos comptes bancaires, d'assurance et de vos portails de santé pour tout élément inhabituel, et signalez les problèmes rapidement.
- Renforcez vos identifiants de connexion. Utilisez des mots de passe uniques et l'authentification multifacteur sur les portails patients, les e-mails et les comptes financiers.
Comment les données de santé volées sont utilisées après une violation
Les informations médicales sont attractives car elles combinent des détails identifiants avec un contexte sensible. Les criminels peuvent les utiliser pour élaborer des messages d'hameçonnage convaincants qui font référence à un prestataire réel ou à un test réel, ce qui rend les gens plus susceptibles de cliquer ou de partager davantage d'informations. Les détails identifiants peuvent également être utilisés dans des tentatives de fraude.
Il existe un second usage devenu plus courant : la pression. Les dossiers volés peuvent être utilisés comme levier contre une organisation, les attaquants menaçant de les publier si leurs exigences ne sont pas satisfaites. Notre explication sur comment la réputation est devenue l'arme de l'extorsion de données par rançongiciel explique pourquoi les données volées sont devenues un outil de négociation. Le rapport source sur Quest n'indique pas qu'une extorsion soit impliquée ici, il s'agit donc de contexte et non d'une affirmation concernant cet incident.
Il convient également de noter que les conseils après une violation peuvent varier selon ce qui a été dérobé. Dans un cas sans rapport, une entreprise hôtelière a conseillé aux clients concernés de remplacer physiquement leurs passeports et permis de conduire après l'exposition de documents d'identité. Cette entreprise n'est pas liée à Quest Diagnostics, mais l'exemple montre pourquoi les types spécifiques de données mentionnés dans votre notification importent plus que les gros titres.
Points clés à retenir
La divulgation de la violation de données de Quest Diagnostics concernant les dossiers patients est encore en cours de développement, et le nombre exact de personnes et les types de données concernés ne sont pas encore publics. En attendant, quelques habitudes couvrent l'essentiel du risque :
- Surveillez une lettre de notification de violation et lisez-la attentivement.
- Gelez votre crédit si la notification mentionne des informations identifiantes.
- Traitez les messages inattendus liés à la santé ou à la facturation comme suspects et vérifiez via les canaux officiels.
- Activez l'authentification multifacteur pour vos comptes clés.
Pour comprendre pourquoi les dossiers volés peuvent avoir de l'importance longtemps après les premiers gros titres, lisez notre article sur l'extorsion de données par rançongiciel, puis prenez dix minutes aujourd'hui pour sécuriser votre crédit et vos comptes.
