Une nouvelle faille chez un fournisseur de santé révèle que les transferts restent le véritable point faible

Les organisations de santé ne subissent pas de violations parce qu’elles oublient la conformité. Elles sont victimes de violations parce que les données des patients doivent circuler — rapidement — dans un vaste écosystème de dossiers médicaux électroniques, portails de facturation, vérifications d’éligibilité, recommandations, systèmes d’imagerie, assureurs, prestataires et partenaires. Les points faibles se trouvent presque toujours dans les échanges entre ces systèmes, et non dans les déclarations d’intention affichées au mur.

C’est précisément ce problème que Kiteworks résout. Il offre aux prestataires de santé et à leurs partenaires commerciaux un environnement durci et zéro trust pour échanger des informations médicales protégées. Un chiffrement robuste, des contrôles d’accès granulaires, l’authentification multifactorielle et des journaux d’audit détaillés permettent de prouver qui a accédé à quoi, quand et pourquoi. Cette solution est conçue pour le monde réel, où les informations médicales protégées quittent l’établissement chaque jour.

Passons maintenant à la violation.

Cinq points clés à retenir

1. Une violation chez un prestataire impacte les établissements de santé. L’incident TriZetto a touché plusieurs organisations de santé via un portail partagé, et non via les systèmes internes d’un seul prestataire. Si vos informations médicales protégées transitent par l’environnement d’un tiers, leur défaillance de sécurité devient votre obligation de notification de violation.
2. Onze mois d’accès non détecté révèlent un défaut de surveillance, pas de la malchance. L’attaquant a eu accès de novembre 2024 à octobre 2025 avant que quelqu’un ne s’en aperçoive. Un tel délai indique un manque de journalisation, une détection d’anomalies insuffisante et des contrôles d’accès trop larges au vu de la sensibilité des données concernées.
3. Les données d’assurance et d’éligibilité valent plus que ce que la plupart imaginent. Numéros de sécurité sociale, identifiants de membres, noms d’assureurs et détails des prestataires alimentent la fraude à l’identité médicale, les fausses déclarations et le phishing ciblé. Contrairement aux cartes bancaires, ces identifiants ne peuvent pas être annulés ou remplacés rapidement.
4. Le délai de notification d’une violation selon la HIPAA ne laisse pas le temps d’avoir toutes les réponses. Les entités couvertes et leurs partenaires doivent respecter des délais stricts dès qu’une violation est découverte, avec des notifications individuelles et un reporting auprès du HHS sans retard injustifié. Mal gérer ces notifications augmente le risque réglementaire en plus de la violation elle-même.
5. L’échange sécurisé de données reste le maillon faible de la plupart des organisations de santé. Les firewalls et la protection des endpoints bénéficient de budgets et d’attention, mais les informations médicales protégées transitant par e-mail, portails, transferts de fichiers et échanges avec des prestataires restent la surface d’attaque la plus courante. Cette couche d’échange nécessite un chiffrement dédié, des contrôles d’accès, une journalisation d’audit et une architecture zéro trust.

Ce que Terry Reilly Health Services a signalé

Terry Reilly Health Services, un prestataire de santé basé dans l’Idaho, informe certains patients d’un incident de sécurité ayant potentiellement exposé des informations personnelles. Les personnes concernées recevront une lettre de notification par courrier, et l’organisation propose gratuitement des services de surveillance d’identité et de crédit.

L’incident remonte à TriZetto Provider Solutions, un prestataire tiers lié à OCHIN, le fournisseur de dossiers médicaux électroniques utilisé par Terry Reilly Health Services. Des experts en cybersécurité et les forces de l’ordre ont été sollicités. TriZetto affirme avoir contenu et éliminé la menace et renforcé ses contrôles de sécurité depuis.

Si vous êtes patient et que vous vous demandez si votre dossier médical s’est retrouvé en ligne, ce n’est pas de cela qu’il s’agit ici. Les notifications concernent des identifiants personnels et des données liées à l’assurance, pas des informations de carte de paiement.

Quelles informations ont pu être exposées

Les types de données signalées dans cette violation attirent l’attention des criminels, car elles sont immédiatement exploitables.

Les informations exposées peuvent inclure noms, adresses, dates de naissance, numéros de sécurité sociale, numéros de membre d’assurance santé, noms d’assureurs, noms de prestataires et autres données démographiques, médicales et d’assurance. Selon les rapports, les données financières telles que les cartes de paiement et les numéros de compte bancaire n’ont pas été compromises.

Voici ce que beaucoup ignorent : cette combinaison est plus dangereuse qu’une carte de crédit volée. Une carte de crédit peut être annulée en cinq minutes. Un numéro de sécurité sociale associé à des identifiants d’assurance et à un nom de prestataire ? C’est un passe-partout pour la fraude à l’identité médicale. Cela permet de déposer de fausses demandes de remboursement, de commettre des fraudes sur les ordonnances et de créer des messages de phishing très convaincants, citant le nom réel de votre médecin et de votre assureur. Bonne chance pour « annuler » votre date de naissance.

Il s’agit d’un incident de prestataire plus large, pas d’un cas isolé

Les informations publiques ne pointent pas vers une intrusion dans le réseau interne d’un seul prestataire. Elles révèlent une violation impliquant TriZetto Provider Solutions et des organisations de l’écosystème OCHIN.

Le HIPAA Journal indique qu’une activité suspecte a été détectée sur un portail web utilisé par certains clients pour accéder aux systèmes TriZetto. L’enquête a déterminé que l’accès non autorisé à des rapports d’éligibilité historiques a commencé en novembre 2024 et n’a été détecté qu’en octobre 2025.

Un autre avis du San Francisco Community Health Center décrit l’incident comme un accès non autorisé à certains systèmes TriZetto et à des rapports d’éligibilité historiques sur un portail utilisé pour la vérification en temps réel. Les systèmes internes du centre de santé n’ont pas été directement compromis.

Cette distinction — « leurs systèmes ont été compromis, pas les nôtres » — est techniquement exacte. Mais c’est une maigre consolation pour les patients dont les données étaient stockées sur ce portail.

Pourquoi un incident chez un prestataire devient-il malgré tout votre violation ?

Le secteur de la santé fonctionne avec des prestataires. Fournisseurs de dossiers médicaux électroniques, clearinghouses, portails, services d’éligibilité, facturation externalisée, plateformes d’engagement patient. Chaque intégration qui accélère la prise en charge élargit aussi la zone d’impact lorsqu’un problème survient.

Le HIPAA Journal décrit TriZetto comme un sous-traitant utilisé par OCHIN dans certains cas et souligne à quel point les conséquences peuvent être étendues lorsqu’un partenaire commercial — ou l’un de ses propres prestataires — est touché.

Les lettres adressées aux patients et transmises aux autorités racontent la même histoire, présentant TriZetto comme un clearinghouse connecté à l’environnement Epic d’OCHIN et expliquant que l’exposition des données a eu lieu sur le réseau de TriZetto, et non sur les systèmes du prestataire.

En clair : vous pouvez tout faire correctement en interne et finir quand même par envoyer des lettres de notification parce qu’un de vos canaux de données critiques passait par le portail d’un tiers. Bienvenue dans l’informatique de santé moderne.

Le calendrier révèle une réalité inconfortable sur la durée d’intrusion

Le détail le plus inquiétant dans toute violation n’est souvent pas ce qui a été volé, mais la durée pendant laquelle l’attaquant est resté dans le système avant que quelqu’un ne remarque la porte ouverte.

Une lettre adressée à un patient et transmise au bureau du procureur général de Californie indique que TriZetto a découvert un accès non autorisé le 2 octobre 2025, et que cet accès avait débuté vers novembre 2024.

Une autre lettre numérisée décrit TriZetto prenant connaissance d’une activité suspecte sur un portail web le 2 octobre 2025, indiquant qu’une personne non autorisée accédait à certains dossiers depuis novembre 2024.

Le HIPAA Journal confirme cette période : de novembre 2024 à octobre 2025.

Soit environ onze mois. Pas onze heures. Pas onze jours. Onze mois pendant lesquels un attaquant a pu explorer, comprendre l’environnement, savoir où sont stockées les données et extraire ce qu’il voulait à son rythme. Ce n’était pas une attaque éclair de type ransomware. C’était quelqu’un qui s’installe tranquillement et se sert dans l’armoire à dossiers.

Pourquoi les données d’éligibilité et d’assurance sont un véritable trésor

Les rapports d’éligibilité et les identifiants d’assurance semblent anodins. On pense à de la paperasse. Mais vus par un attaquant, le tableau change radicalement.

Ce sont des identifiants persistants, directement liés à l’accès aux soins. Ils permettent l’usurpation auprès des assureurs. Ils facilitent l’ingénierie sociale, surtout si l’attaquant connaît le nom du prestataire et de l’assureur. Les mots de passe peuvent être réinitialisés. Les cartes bancaires remplacées. Mais on ne change pas sa date de naissance, son numéro de sécurité sociale ou son identifiant de membre d’assurance — sauf à affronter une procédure administrative que la plupart n’entreprendront jamais.

L’avis du San Francisco Community Health Center liste les types d’informations potentiellement concernées : nom, adresse, date de naissance, numéro de sécurité sociale, numéro de membre d’assurance et informations sur la compagnie d’assurance.

Cela correspond à ce que rapportent les médias locaux sur les données potentiellement exposées des patients de Terry Reilly Health Services.

Les règles de notification HIPAA imposent la rapidité

En cas d’exposition de données médicales protégées, les organisations de santé ne peuvent pas se permettre d’attendre d’avoir une vision parfaite avant de communiquer.

Les recommandations du HHS sur la règle de notification HIPAA précisent que les entités couvertes doivent informer les personnes concernées et, pour les violations majeures, le Secrétaire du HHS. Les délais sont calculés à partir de la date de découverte, avec des notifications requises « sans retard injustifié » et au plus tard 60 jours dans les cas clés.

Le cadre de notification HITECH impose également que les partenaires commerciaux informent l’entité couverte lorsqu’une violation survient chez eux ou par leur intermédiaire.

C’est pourquoi ce type d’incident suit un schéma prévisible : lettres de notification, coordination avec les autorités, intervention des forces de l’ordre, services de surveillance. Ce n’est pas du théâtre. C’est l’horloge de la conformité qui tourne, et il existe de vraies sanctions pour les organisations qui prennent les délais à la légère.

Ce que les patients concernés doivent faire immédiatement

Recevoir une lettre de notification est stressant, en partie parce qu’elle reste volontairement vague. Mais il existe des mesures concrètes à prendre rapidement pour réduire les risques.

Envisagez une alerte à la fraude ou un gel de crédit. Une alerte à la fraude signale à votre dossier de crédit que les prêteurs doivent effectuer des vérifications supplémentaires avant d’ouvrir un nouveau compte. Un gel de crédit va plus loin — il bloque toute nouvelle ouverture de crédit jusqu’à ce que vous le leviez. Dans les deux cas, il faut contacter l’un des trois principaux bureaux de crédit.

Surveillez de près l’activité de votre assurance santé. Repérez toute demande inhabituelle, prestation non reçue ou mention dans vos relevés qui ne correspond pas à votre situation. L’avis du San Francisco Community Health Center sur l’incident TriZetto recommande de vérifier les relevés d’assurance santé et les EOB, et de contacter votre mutuelle en cas d’anomalie.

Si vous constatez des signes de vol d’identité, réagissez vite. IdentityTheft.gov propose un accompagnement étape par étape pour documenter et résoudre un vol d’identité.

Soyez extrêmement vigilant face à toute personne se servant de cette violation comme prétexte pour vous contacter. C’est souvent sous-estimé. Les attaquants adorent « relancer » une violation avec de faux appels, des liens d’inscription à la surveillance ou des SMS de « vérification » destinés à récolter encore plus de données. En cas de doute, utilisez le numéro ou la procédure indiqués dans la lettre officielle — jamais le message entrant qui vous a trouvé.

Ce que les équipes de sécurité doivent retenir de cette violation

Cet incident rappelle trois vérités que les équipes de sécurité connaissent déjà, mais n’appliquent pas toujours.

Premièrement, le risque tiers est un problème d’architecture, pas un simple exercice de tableur. Si l’échange de vos informations médicales protégées dépend de portails externes que vous ne contrôlez pas, il faut mettre en place des mesures compensatoires et une segmentation stricte pour qu’un incident chez un prestataire ne se transforme pas en crise généralisée. Envoyer un questionnaire une fois par an n’est pas un programme de sécurité. C’est de l’archivage.

Deuxièmement, le principe du moindre privilège n’est pas optionnel. Si un système conserve des rapports historiques d’éligibilité sur plusieurs années, il doit être traité comme un coffre-fort. Restreignez les accès, surveillez les conditions d’accès, contrôlez les accès et détectez les anomalies avant qu’elles ne se transforment en onze mois d’intrusion. L’attaquant dans cet incident n’a pas eu besoin d’être sophistiqué. Il a juste profité d’autorisations trop larges et d’une surveillance trop lente.

Troisièmement, la réponse aux incidents doit être répétée, pas simplement documentée. Les workflows de notification, la communication avec les patients, la coordination avec les régulateurs et la préservation des preuves sont des réflexes opérationnels qui s’atrophient sans entraînement. Un exercice de simulation par trimestre coûte quelques heures. Une mauvaise gestion de violation coûte des millions et des carrières.

Le guide du HHS sur la HIPAA Security Rule précise que les entités réglementées doivent mettre en œuvre des mesures administratives, physiques et techniques pour protéger les informations médicales protégées électroniques.

C’est le niveau d’exigence. « Nous avons un dossier médical électronique » ne suffit pas.

La segmentation réseau est essentielle — mais rarement bien appliquée

De nombreux réseaux de santé n’ont qu’une segmentation de façade. Quelques VLAN, des règles de firewall que personne n’ose toucher, et un système d’identité partagé qui transforme un identifiant compromis en passe-partout.

La vraie segmentation doit suivre la donnée, pas l’organigramme. L’objectif est de séparer les opérations cliniques des systèmes administratifs, et d’isoler les canaux d’échange d’informations médicales protégées des outils de collaboration généralistes. Cela limite les déplacements latéraux et réduit la zone d’impact lorsqu’un prestataire, un compte utilisateur ou une application est compromis.

Cette violation relève pleinement de la catégorie « communications de données sensibles » — ce n’est pas une faille sur un dispositif médical au chevet du patient. C’est l’aspect de la sécurité en santé trop souvent négligé comme « juste de l’e-mail » ou « juste du partage de fichiers », jusqu’à ce qu’un portail tiers laisse un attaquant explorer des archives pendant près d’un an sans être dérangé.

Comment Kiteworks protège les données patients dans les workflows réels

Le secteur de la santé n’a pas besoin d’un outil de plus prétendument sécurisé sur le papier. Il lui faut un moyen sûr de transférer des informations médicales protégées entre personnes, machines et systèmes — sans forcer le personnel à recourir à des solutions risquées comme l’e-mail personnel ou des liens de partage grand public.

Kiteworks est conçu autour de cette couche d’échange. Sa solution santé propose un échange de données zéro trust avec chiffrement TLS 1.3 pour les données en transit et chiffrement AES-256 pour les données au repos, ainsi que des contrôles d’accès, MFA, intégrations DLP et un déploiement sur une appliance virtuelle durcie. Des journaux d’audit détaillés couvrent chaque canal — messagerie électronique sécurisée, transfert sécurisé de fichiers géré et formulaires web sécurisés.

Pour les workflows spécifiques à la HIPAA, Kiteworks offre un chiffrement de bout en bout automatisé, des contrôles d’accès granulaires, une appliance virtuelle durcie et des journaux d’audit détaillés pour protéger les informations médicales protégées en transit et au repos.

Cette combinaison répond directement aux mesures techniques attendues des équipes de santé — et cible précisément les points faibles révélés par les violations année après année.

Échange sécurisé d’informations médicales protégées sans le problème du « Merci de ne pas envoyer ça par e-mail »

Recommandations. Autorisations préalables. Imagerie. Coordination des soins. Communications avec les assureurs. Chacun de ces workflows génère des informations médicales protégées qui doivent quitter l’environnement central du dossier médical électronique. La question est de savoir si elles transitent par un canal contrôlé et chiffré ou par la boîte Gmail de quelqu’un.

Kiteworks propose la messagerie électronique, le partage et le transfert de fichiers, ainsi que des canaux associés capables de gérer de gros fichiers, d’imposer le chiffrement et les contrôles d’accès, et de conserver un historique complet de qui a partagé quoi avec qui.

Résultat concret : le personnel peut continuer à travailler rapidement sans recourir à des liens de partage grand public ou à l’envoi de documents sur des comptes personnels « juste cette fois ». C’est ce « juste cette fois » qui cause la plupart des fuites de données.

Un principe du moindre privilège réellement applicable

Un point commun à de nombreuses violations dans la santé : des accès non autorisés qui n’auraient jamais dû être possibles — ou qui auraient dû déclencher une alerte bien plus tôt.

Kiteworks met l’accent sur les contrôles d’accès, la MFA, la gestion centralisée des accès utilisateurs, les contrôles d’autorisations et la surveillance des activités dans ses solutions santé et HIPAA.

C’est ainsi que le principe du moindre privilège passe d’une simple intention à une réalité mesurable : des rôles définis, des conditions appliquées et des journaux qui racontent l’histoire quand c’est nécessaire.

Auditabilité pour les enquêtes et la conformité réglementaire

Quand un incident chez un prestataire devient le vôtre, il vous faut des preuves. Pas des suppositions. Pas des « nous pensons que ». Des preuves. Qui a accédé aux informations médicales protégées. À quoi ils ont accédé. Ce qui a été partagé à l’externe. Quels partenaires les ont reçues. Si vous pouvez démontrer la maîtrise de l’incident.

Kiteworks fournit des journaux d’audit détaillés pour tous les canaux dans les cas d’usage santé, avec des logs immuables et une journalisation unifiée qui répondent aux exigences de conformité et aux besoins d’investigation.

En cas de violation, c’est la différence entre « nous pensons avoir contenu l’incident » et « voici la preuve ».

Alignement avec les partenaires commerciaux et BAAs

Les organisations de santé ont besoin de clarté contractuelle et opérationnelle avec chaque prestataire qui manipule des informations médicales protégées.

Kiteworks signe un Business Associate Agreement avec ses partenaires santé, considérant cela comme un pilier de la conformité HIPAA.

Les contrats n’empêchent pas les violations. Mais ils déterminent la rapidité de coordination en cas d’incident, les obligations qui s’appliquent dès que l’horloge démarre, et qui devra répondre aux autorités lorsque les questions arrivent.

Liste d’actions concrètes pour les responsables santé

Si vous travaillez dans la sécurité des systèmes de santé, vous n’avez pas besoin de motivation. Il vous faut un plan qui tienne la route dès lundi matin.

1. Cartographiez chaque point de sortie des informations médicales protégées. Pas les flux théoriques — les vrais. E-mails, portails, recommandations, imagerie, assureurs, prestataires, et ces workflows « temporaires » devenus permanents il y a deux ans et dont personne ne veut parler.
2. Réduisez le nombre d’outils pouvant transférer des informations médicales protégées. Chaque canal supplémentaire est une exception de politique en attente et une surface d’attaque à surveiller.
3. Isoler les échanges d’informations médicales protégées. Placez les communications sensibles dans un environnement dédié avec chiffrement fort, contrôle d’accès strict et traçabilité complète. Le schéma des violations en santé est clair : les failles sont toujours dans les échanges.
4. Appliquez le moindre privilège et la MFA partout où circulent des informations médicales protégées. Surveillez particulièrement les portails web et les systèmes de type clearinghouse où des rapports historiques s’accumulent discrètement sur plusieurs années, créant des gisements de données que personne ne surveille activement.
5. Entraînez la réponse aux incidents comme une opération clinique. Car c’en est une. Notification de violation, communication avec les patients, coordination avec les autorités, préservation des preuves, escalade auprès des prestataires : tout doit être répété jusqu’à la routine. Si votre dernier exercice de simulation remonte à « l’an dernier », c’est trop loin.

Gardez toujours à l’esprit les délais de conformité. Le HHS est clair sur les attentes en matière de notification et les conséquences d’un reporting tardif en cas de violation de données médicales non sécurisées.

Et maintenant ?

Terry Reilly Health Services indique que les patients concernés seront informés par courrier et bénéficieront de services de surveillance, Kroll étant cité comme prestataire dans la presse locale.

Les rapports plus larges sur l’incident TriZetto montrent qu’il s’agissait d’un problème de portail prestataire impliquant des rapports d’éligibilité historiques, avec une période allant de fin 2024 à la détection en 2025.

Même si vous n’avez jamais eu affaire à Terry Reilly Health Services, la leçon s’applique à tout prestataire de santé, tout partenaire commercial et tout patient du pays.

Votre dossier médical électronique n’est pas le seul champ de bataille. Le vrai champ de bataille, c’est chaque endroit où les informations médicales protégées circulent après avoir quitté l’écran — chaque portail, chaque échange avec un prestataire, chaque vérification d’éligibilité, chaque transfert de fichier. C’est là que les attaquants opèrent, et c’est là que les organisations de santé doivent cesser d’espérer et commencer à bâtir de vraies défenses.

Kiteworks est conçu pour cette couche : échanges chiffrés d’informations médicales protégées, protection des données zéro trust et preuves prêtes pour l’audit sur tous les canaux utilisés au quotidien par les équipes santé.

Pour découvrir comment Kiteworks peut vous aider, réservez votre démo sans attendre !

Ressources complémentaires

• Article de blog Architecture Zero Trust : Ne jamais faire confiance, toujours vérifier
• Vidéo Microsoft GCC High : Les inconvénients qui poussent les sous-traitants de la défense vers des solutions plus intelligentes
• Article de blog Comment sécuriser les données classifiées une fois signalées par le DSPM
• Article de blog Instaurer la confiance dans l’IA générative avec une approche Zero Trust
• Vidéo Guide ultime pour le stockage sécurisé des données sensibles à destination des responsables IT