En février 2024, Change Healthcare, une filiale d’UnitedHealth spécialisée dans le traitement des facturations médicales, a été victime d’une cyberattaque par ransomware d’une ampleur sans précédent. Plus de 100 millions de dossiers médicaux ont été dérobés, constituant ainsi la plus grande violation de données de santé de l’histoire des États-Unis.
Malgré l’importance de cet incident, Change Healthcare a attendu plusieurs mois avant de notifier les personnes concernées. La société a finalement publié un avis sur son site web, mais a pris soin de le rendre invisible aux moteurs de recherche en y insérant du code « noindex ».
Les conséquences de la violation de données
Cette cyberattaque a eu des répercussions majeures sur le système de santé américain :
- Des perturbations de soins pendant plusieurs mois
- Un risque accru d’usurpation d’identité et de fraude pour les patients
- De lourdes sanctions financières et juridiques pour Change Healthcare
Le manque de notification adéquate de Change Healthcare a rendu les citoyens de l’État plus vulnérables à l’exploitation de leurs informations personnelles sensibles.
– Mike Hilgers, procureur général du Nebraska
Une divulgation volontairement retardée
Change Healthcare a attendu quatre mois après avoir récupéré les données volées pour commencer à notifier les personnes touchées. Plusieurs États, dont la Californie et le Massachusetts, sont intervenus pour alerter eux-mêmes leurs résidents.
De plus, la société a délibérément dissimulé son avis de violation en y intégrant du code « noindex », empêchant les moteurs de recherche de le référencer. Cette opacité soulève de sérieuses questions sur les priorités d’UnitedHealth en matière de protection des données de ses clients.
Les leçons à tirer pour les entreprises
Ce cas illustre l’importance pour toute organisation de :
- Mettre en place des mesures de sécurité robustes pour prévenir les cyberattaques
- Établir un plan de réponse en cas d’incident, incluant une communication rapide et transparente
- Considérer la protection des données comme une priorité business et éthique
Dans un contexte où les violations de données se multiplient, il est crucial pour les entreprises de faire preuve de responsabilité et de transparence. C’est non seulement une obligation légale, mais aussi la clé pour maintenir la confiance des clients à long terme.
