DentaQuest, le plus grand gestionnaire de prestations dentaires Medicaid et du programme d'assurance maladie pour enfants (CHIP) aux États-Unis, a subi une cyberattaque qui a exposé les données personnelles de jusqu'à 23,4 millions de personnes. L'ampleur des dégâts est large, puisque les numéros de sécurité sociale, les numéros d'adhésion à Medicaid et Medicare, ainsi que les dossiers de diagnostic et de traitement ont également fuité.
En mai dernier, ShinyHunters a publié les données dérobées sur le dark web en affirmant que 2,6 millions de personnes étaient concernées. La notification officielle envoyée par DentaQuest à partir de mi-juillet faisait état de plus de 15 millions de personnes. Par la suite, le média spécialisé en sécurité SecurityAffairs a rapporté un chiffre dépassant les 23,4 millions. En trois mois, la source du chiffre a changé trois fois, et l'ampleur a augmenté à chaque fois, a rapporté le média spécialisé en santé HIPAA Journal.
Trois jours d'accès non autorisé et une fuite sur le dark web
Selon DentaQuest, un attaquant externe a accédé sans autorisation au réseau informatique de l'entreprise pendant trois jours, du 17 au 20 mai derniers. L'entreprise a découvert l'intrusion le 20 mai, a immédiatement coupé son réseau et a signalé l'incident aux autorités compétentes. ShinyHunters a affirmé avoir dérobé 234 gigaoctets de données et a exigé le paiement d'une rançon. Après l'échec des négociations, le groupe a publié les données dérobées telles quelles sur un site de fuite du dark web.
Données d'identité et de soins exposées chez le plus grand gestionnaire américain
Basée à Wellesley, dans le Massachusetts, DentaQuest est la filiale dentaire américaine de l'assureur-vie Sun Life. C'est aussi le plus grand gestionnaire de prestations dentaires Medicaid et CHIP dans 50 États américains. Les données exposées comprennent les noms et adresses, les numéros de sécurité sociale, les numéros d'adhésion à Medicaid et Medicare, les antécédents de diagnostic et de traitement, ainsi que les informations de facturation. De nombreuses données d'enfants assurés figureraient également parmi les données exposées. DentaQuest a toujours indiqué gérer les prestations dentaires de 32 millions de personnes à travers les États-Unis ; les 23,4 millions de personnes touchées représentent donc une part considérable de ce total.
Aide aux victimes, arrestation d'un suspect et enjeu de sécurité en Corée
DentaQuest a annoncé offrir aux victimes une surveillance de crédit gratuite et une protection contre l'usurpation d'identité pendant 24 mois. ShinyHunters est un groupe qui a mené cette année des attaques similaires contre plusieurs entreprises. Le 29 du mois dernier, une personne soupçonnée d'appartenir à ce groupe a été arrêtée aux Pays-Bas et placée en détention pour 90 jours, a rapporté l'agence Associated Press.
DentaQuest n'opérant pas en Corée, les patients dentaires coréens ne seront pas directement touchés par cette fuite. Le fait que la sécurité soit un maillon faible dans le secteur dentaire concerne toutefois aussi la Corée. Le site Internet de HASS, une entreprise de matériaux de prothèses esthétiques dentaires, a lui aussi été piraté en 2024, exposant les noms et coordonnées de ses membres. Comme pour HeyDonto, évoqué précédemment, plus les tentatives de relier les dossiers dentaires aux dossiers médicaux électroniques se multiplient, plus l'étendue des données exposées en cas de brèche s'élargit également : c'est un défi qui reste à relever dans les deux pays.