McLaren Health Care, basée au Michigan, a confirmé que les informations personnelles et médicales sensibles de 2,2 millions de patients ont été compromises lors d’une cyberattaque plus tôt cette année. Un gang de ransomwares s’est ensuite attribué le mérite de la cyberattaque.
Dans un nouvel avis de violation de données déposé auprès du procureur général du Maine, McLaren a déclaré que des pirates informatiques étaient présents dans ses systèmes pendant trois semaines, du 28 juillet au 23 août, avant que l’entreprise de soins de santé ne s’en aperçoive une semaine plus tard, le 31 août.
McLaren a déclaré que les pirates ont accédé aux noms des patients, à leur date de naissance et à leur numéro de sécurité sociale, ainsi qu’à une multitude d’informations médicales, notamment des informations sur la facturation, les réclamations et les diagnostics, les détails des ordonnances et des médicaments, ainsi que des informations relatives aux résultats des diagnostics et aux traitements. Des informations sur les patients Medicare et Medicaid ont également été recueillies.
McLaren est un prestataire de soins de santé comptant 13 hôpitaux dans tout le Michigan et employant environ 28 000 personnes au total. McLaren, dont le site Web vante ses mesures de rentabilité, a réalisé plus de 6 milliards de dollars de revenus en 2022.
La nouvelle de l’incident a éclaté en octobre lorsque le gang du ransomware Alphv (également connu sous le nom de BlackCat) a revendiqué la responsabilité de la cyberattaque, affirmant qu’elle avait volé les informations personnelles de millions de patients. Quelques jours après la révélation de la cyberattaque, le procureur général du Michigan, Dana Nessel, a averti les résidents de l’État que la violation « pourrait affecter un grand nombre de patients ».
TechCrunch a vu plusieurs captures d’écran publiées par le groupe de ransomwares sur son site de fuite du Web sombre montrant l’accès au gestionnaire de mots de passe de l’entreprise, aux états financiers internes, à certaines informations sur les employés et à des feuilles de calcul contenant des informations personnelles et de santé relatives aux patients, notamment les noms, adresses, numéros de téléphone, Numéros de sécurité sociale et informations de diagnostic.
Alphv/BlackCat a affirmé dans son message que le gang avait été en contact avec un représentant de McLaren, sans fournir de preuve de cette affirmation.
Lorsqu’il a été contacté par e-mail, le porte-parole de McLaren, David Jones, a refusé de commenter au-delà de la déclaration publique de l’entreprise ou de répondre à nos questions sur l’incident. Le porte-parole n’a pas précisé si l’entreprise avait reçu une demande de paiement ou si elle avait payé les pirates. McLaren n’a pas voulu rendre disponible son responsable de la sécurité de l’information, George Goble, pour un entretien.
McLaren fait actuellement face à au moins trois recours collectifs liés à la cyberattaque.