Une nouvelle faille chez un fournisseur de santé révèle que les transferts constituent le véritable point faible

Les organismes de santé ne subissent pas de violations parce qu’ils ont négligé la conformité. Ils sont victimes de violations parce que les données des patients doivent circuler — rapidement — dans un vaste écosystème de DSE, portails de facturation, vérifications d’éligibilité, référencements, systèmes d’imagerie, assureurs, prestataires et partenaires. Les points faibles se trouvent presque toujours dans les échanges entre ces systèmes, pas dans les déclarations de mission affichées sur les murs.

C’est précisément ce problème que Kiteworks résout. Il offre aux prestataires de santé et à leurs partenaires commerciaux un environnement durci, basé sur le zéro trust, pour échanger des informations médicales protégées. Un chiffrement robuste, des contrôles d’accès granulaires, l’authentification multifactorielle et des journaux d’audit détaillés permettent de prouver qui a accédé à quoi, quand et pourquoi. La solution est conçue pour la réalité du terrain, où les informations médicales protégées quittent l’établissement chaque jour.

Passons maintenant à la violation.

Cinq points clés à retenir

1. Une violation chez un prestataire, c’est une violation chez le fournisseur de soins. L’incident TriZetto a touché plusieurs organismes de santé via un portail partagé, et non via les systèmes internes d’un seul prestataire. Si vos informations médicales protégées transitent par l’environnement d’un tiers, leur défaillance de sécurité devient votre notification de violation.
2. Onze mois d’accès non détecté révèlent une défaillance de la surveillance, pas un coup de malchance. L’attaquant a eu accès de novembre 2024 à octobre 2025 avant que quiconque ne s’en aperçoive. Une telle durée d’intrusion indique un manque de journalisation, une détection d’anomalies insuffisante et des contrôles d’accès trop larges par rapport à la sensibilité des données impliquées.
3. Les données d’assurance et d’éligibilité valent plus que ce que la plupart des organisations imaginent. Numéros de Sécurité sociale, identifiants d’adhérent, noms d’assureurs et détails des prestataires alimentent la fraude à l’identité médicale, les fausses déclarations et le phishing ciblé. Contrairement aux cartes bancaires, ces identifiants ne peuvent pas être annulés ou remplacés rapidement.
4. Le compte à rebours de la notification de violation HIPAA ne laisse pas le temps d’obtenir toutes les réponses. Les entités couvertes et leurs partenaires doivent respecter des délais stricts dès qu’une violation est découverte, avec des notifications individuelles et des reportings à la HHS à effectuer sans retard injustifié. Mal gérer ces workflows de notification augmente le risque réglementaire en plus de la violation elle-même.
5. L’échange sécurisé de données reste la faille que la plupart des organismes de santé n’ont pas comblée. Les firewalls et la protection des endpoints bénéficient du budget et de l’attention, mais les informations médicales protégées qui circulent par e-mail, portails, transferts de fichiers et échanges avec des prestataires restent la surface d’attaque la plus courante. Cette couche d’échange exige un chiffrement dédié, des contrôles d’accès, une journalisation d’audit et une architecture zéro trust.

Ce que Terry Reilly Health Services a déclaré

Terry Reilly Health Services, un prestataire de santé basé dans l’Idaho, informe certains patients d’un incident de sécurité des données susceptible d’avoir exposé des informations personnelles. Les personnes concernées recevront une lettre de notification par courrier, et l’organisation propose gratuitement des services de surveillance d’identité et de crédit.

L’incident remonte à TriZetto Provider Solutions, un prestataire tiers lié à OCHIN, le fournisseur de dossier médical électronique utilisé par Terry Reilly Health Services. Des experts en cybersécurité et les forces de l’ordre ont été sollicités. TriZetto affirme avoir contenu et éliminé la menace et renforcé ses contrôles de sécurité depuis.

Si vous êtes un patient qui lit ceci et vous demandez si votre dossier médical s’est retrouvé en ligne, ce n’est pas ce dont il s’agit ici. Les divulgations portent sur des identifiants personnels et des données liées à l’assurance, pas sur des informations de carte de paiement.

Quelles informations ont pu être exposées

Les types de données signalés dans cette violation attirent l’attention des criminels, car ils sont immédiatement exploitables.

Les informations exposées peuvent inclure les noms, adresses, dates de naissance, numéros de Sécurité sociale, numéros d’adhérent à une assurance santé, noms d’assureurs, noms de prestataires et d’autres détails démographiques, médicaux et liés à l’assurance santé. Les données financières telles que les cartes de paiement et les numéros de comptes bancaires n’auraient pas été compromises.

Voici ce que la plupart des gens ignorent : cette combinaison est plus dangereuse qu’une carte bancaire volée. Une carte bancaire peut être annulée en cinq minutes. Un numéro de Sécurité sociale associé à des identifiants d’assurance et à un nom de prestataire ? C’est un passe-partout pour la fraude à l’identité médicale. Il permet de déposer de fausses demandes de remboursement, de commettre des fraudes à l’ordonnance et de créer des messages de phishing si convaincants qu’ils citent le nom de votre médecin et de votre assureur. Bonne chance pour « annuler » votre date de naissance.

Cet incident ressemble à une faille plus large chez un prestataire, pas à un cas isolé

Les détails publics n’indiquent pas une intrusion dans le réseau interne d’un seul prestataire. Ils pointent vers une violation impliquant TriZetto Provider Solutions et des organisations de l’écosystème OCHIN.

Selon HIPAA Journal, une activité suspecte a été détectée sur un portail web utilisé par certains clients du secteur santé pour accéder aux systèmes TriZetto. L’enquête a révélé que l’accès non autorisé aux rapports historiques d’éligibilité avait commencé en novembre 2024 et n’a été détecté qu’en octobre 2025.

Une notification distincte du San Francisco Community Health Center décrit l’incident comme un accès non autorisé à certains systèmes TriZetto et à des rapports historiques d’éligibilité sur un portail utilisé pour la vérification en temps réel. Les systèmes propres au centre de santé n’ont pas été directement compromis.

Cette distinction — « leurs systèmes ont été compromis, pas les nôtres » — est techniquement exacte. Mais elle ne rassure guère les patients dont les données étaient stockées dans ce portail.

Pourquoi un incident chez un prestataire devient votre violation malgré tout

Le secteur de la santé fonctionne avec des prestataires. Fournisseurs de DSE. Clearinghouses. Portails. Services d’éligibilité. Facturation externalisée. Plateformes d’engagement patient. Chaque intégration qui accélère la prise en charge élargit aussi la zone d’impact quand un problème survient.

HIPAA Journal décrit TriZetto comme un sous-traitant utilisé par OCHIN dans certains cas et souligne que l’incident illustre l’ampleur des conséquences lorsqu’un partenaire commercial — ou l’un de ses prestataires — est touché.

Les lettres adressées aux patients et transmises aux régulateurs racontent la même histoire, présentant TriZetto comme un prestataire clearinghouse connecté à l’environnement OCHIN basé sur Epic et expliquant que l’exposition des données s’est produite dans le réseau de TriZetto, pas dans les systèmes du prestataire.

En clair : vous pouvez tout faire correctement en interne et finir malgré tout par envoyer des lettres de violation parce qu’un de vos canaux de données critiques passait par le portail d’un tiers. Bienvenue dans l’IT santé moderne.

La chronologie révèle une vérité dérangeante sur la durée d’intrusion

Le détail le plus inquiétant dans toute violation n’est souvent pas ce qui a été volé. C’est la durée pendant laquelle l’attaquant est resté dans la place sans que personne ne remarque la porte ouverte.

Une lettre adressée à un patient et transmise au bureau du procureur général de Californie indique que TriZetto a découvert l’accès non autorisé le 2 octobre 2025, et que l’accès avait commencé vers novembre 2024.

Une autre lettre scannée décrit la prise de conscience par TriZetto d’une activité suspecte sur un portail web le 2 octobre 2025, indiquant qu’une personne non autorisée accédait à certains dossiers depuis novembre 2024.

HIPAA Journal confirme la même période : de novembre 2024 à octobre 2025.

Soit environ onze mois. Pas onze heures. Pas onze jours. Onze mois durant lesquels un attaquant a pu naviguer, cartographier l’environnement, comprendre où sont stockées les données et extraire ce qu’il voulait à son rythme. Ce n’était pas une attaque éclair de ransomware. C’était quelqu’un qui s’est installé tranquillement et a fouillé les dossiers à loisir.

Pourquoi les données d’éligibilité et d’assurance sont un véritable trésor

Les rapports d’éligibilité et les identifiants d’assurance paraissent anodins. On pense à de la paperasse. Mais du point de vue d’un attaquant, la donne change radicalement.

Ce sont des identifiants persistants, directement liés à l’accès aux soins. Ils permettent l’usurpation auprès des assureurs. Ils facilitent l’ingénierie sociale, surtout si l’attaquant connaît le nom du prestataire et de l’assureur. Les mots de passe se réinitialisent. Les cartes bancaires se remplacent. Mais on ne change pas sa date de naissance, son numéro de Sécurité sociale ou son identifiant d’adhérent — sauf à affronter un parcours administratif que peu de gens entreprendront.

La notification du San Francisco Community Health Center liste les types d’informations potentiellement concernées : nom du patient, adresse, date de naissance, numéro de Sécurité sociale, numéros d’adhérent à l’assurance et informations sur la compagnie d’assurance.

Cela correspond à ce que la presse locale rapporte sur les données potentiellement exposées des patients de Terry Reilly Health Services.

Les règles de notification HIPAA imposent la rapidité

Quand des informations médicales protégées sont exposées, les organismes de santé n’ont pas le luxe d’attendre d’avoir une vision parfaite avant de communiquer.

Les directives de la HHS sur la règle de notification HIPAA précisent que les entités couvertes doivent informer les personnes concernées et, pour les violations majeures, le Secrétaire de la HHS. Les délais dépendent de la date de découverte, avec des notifications à effectuer « sans retard injustifié » et au plus tard 60 jours dans certains cas.

Le cadre de notification de violation HITECH impose également aux partenaires commerciaux de notifier l’entité couverte lorsqu’une violation survient chez eux ou par leur intermédiaire.

C’est pourquoi ce type d’incident suit un schéma prévisible : lettres de notification, coordination avec les régulateurs, intervention des forces de l’ordre, services de surveillance. Ce n’est pas du théâtre. C’est le compte à rebours réglementaire, et il existe de vraies sanctions pour les organisations qui prennent ces délais à la légère.

Ce que les patients concernés doivent faire immédiatement

Les lettres de violation sont stressantes, en partie parce qu’elles restent volontairement vagues. Mais il existe des mesures concrètes à prendre rapidement pour limiter les risques.

Envisagez une alerte à la fraude ou un gel de crédit. Une alerte à la fraude signale à votre dossier de crédit que les prêteurs doivent effectuer des vérifications supplémentaires avant d’ouvrir un nouveau compte. Un gel de crédit va plus loin — il bloque toute ouverture de crédit jusqu’à ce que vous le leviez. Dans les deux cas, contactez l’un des trois principaux bureaux de crédit.

Surveillez de près l’activité de votre assurance santé. Recherchez toute demande inhabituelle, prestation non reçue ou mention dans les relevés de prestations qui ne correspond pas à votre expérience. La notification du San Francisco Community Health Center recommande de vérifier les relevés d’assurance et les EOB, et de contacter votre mutuelle en cas d’anomalie.

Si vous constatez des signes de vol d’identité, réagissez vite. IdentityTheft.gov propose un accompagnement pour documenter et résoudre les cas d’usurpation d’identité.

Soyez extrêmement méfiant envers toute personne qui vous contacte en se référant à cette violation. C’est souvent sous-estimé. Les attaquants profitent de ce type d’incident pour envoyer de faux appels, des liens d’inscription à la surveillance ou des SMS de « vérification » conçus pour collecter encore plus de données. En cas de doute, utilisez le numéro ou la procédure indiqués dans la lettre officielle reçue par courrier — jamais le message entrant qui vous a trouvé.

Ce que les équipes de cybersécurité du secteur santé doivent retenir de cette violation

Cet incident confirme trois vérités difficiles que les équipes de sécurité connaissent déjà, mais n’appliquent pas toujours.

Premièrement, le risque tiers est un problème d’architecture, pas un simple exercice de tableur. Si vos échanges d’informations médicales protégées reposent sur des portails externes que vous ne contrôlez pas, il vous faut des contrôles compensatoires et une segmentation stricte pour éviter qu’un incident chez un prestataire ne se transforme en crise généralisée. Envoyer un questionnaire une fois par an n’est pas un programme de sécurité, c’est de l’archivage.

Deuxièmement, le principe du moindre privilège n’est pas optionnel. Si un système conserve des rapports d’éligibilité historiques sur plusieurs années, traitez-le comme un coffre-fort. Restreignez l’accès, surveillez les accès et détectez les anomalies avant qu’elles ne deviennent des séjours de onze mois. L’attaquant dans ce cas n’avait pas besoin d’être sophistiqué. Il lui suffisait d’avoir un accès trop large et une surveillance trop lente.

Troisièmement, la réponse aux incidents doit être répétée, pas archivée. Les workflows de notification, la communication avec les patients, la coordination avec les régulateurs et la conservation des preuves sont des réflexes opérationnels qui s’émoussent vite sans entraînement. Un exercice de simulation par trimestre ne prend que quelques heures. Une gestion ratée d’une violation coûte des millions et des carrières.

Le résumé de la HHS sur la HIPAA Security Rule précise que les entités réglementées doivent mettre en œuvre des mesures administratives, physiques et techniques pour protéger les informations médicales protégées électroniques.

C’est le niveau d’exigence. « Nous avons un DSE » ne suffit pas.

La segmentation réseau compte — mais pas comme la plupart la mettent en œuvre

Beaucoup de réseaux santé n’ont qu’une segmentation de façade. Quelques VLAN, des règles de firewall que personne n’ose toucher, et un plan d’identité partagé qui transforme un identifiant compromis en passe-partout pour tout le système.

La vraie segmentation doit suivre les données, pas l’organigramme. L’objectif est de séparer les opérations cliniques des systèmes administratifs et d’isoler les canaux d’échange d’informations médicales protégées des outils de collaboration génériques. Cela limite les mouvements latéraux et réduit la zone d’impact lorsqu’un prestataire, un compte utilisateur ou une application est compromis.

Cette violation relève clairement de la catégorie « communications de données sensibles » — pas d’une faille sur un dispositif au chevet du patient. C’est l’aspect de la sécurité santé trop souvent relégué à « juste de l’e-mail » ou « juste du partage de fichiers »… jusqu’à ce qu’un portail prestataire offre à un attaquant près d’un an pour explorer les archives en toute tranquillité.

Comment Kiteworks protège les données patients dans les flux de travail réels

Le secteur santé n’a pas besoin d’un outil de plus qui promet la sécurité sur une présentation PowerPoint. Il lui faut un moyen sécurisé de transférer les informations médicales protégées entre personnes, machines et systèmes — sans pousser le personnel à recourir à des solutions à risque comme l’e-mail personnel ou les liens de partage grand public.

Kiteworks est conçu autour de cette couche d’échange. Sa solution santé propose un échange de données zéro trust avec chiffrement TLS 1.3 pour les données en transit et chiffrement AES-256 pour les données au repos, ainsi que des contrôles d’accès, MFA, intégrations DLP et un déploiement sur une appliance virtuelle durcie. Des journaux d’audit détaillés couvrent chaque canal — messagerie électronique sécurisée, transfert sécurisé de fichiers géré et formulaires web sécurisés.

Pour les workflows spécifiques à la HIPAA, Kiteworks propose un chiffrement de bout en bout automatisé, des contrôles d’accès granulaires, une appliance virtuelle durcie et des journaux d’audit détaillés afin de protéger les informations médicales protégées en transit comme au repos.

Cette combinaison répond directement aux exigences techniques attendues des équipes santé — et cible précisément les points faibles révélés par les violations année après année.

Un échange sécurisé d’informations médicales protégées sans le problème du « Merci de ne pas envoyer ça par e-mail »

Référencements. Autorisations préalables. Imagerie. Coordination des soins. Communications avec les assureurs. Chacun de ces workflows génère des informations médicales protégées qui doivent sortir du DSE principal. La question est de savoir si elles transitent par un canal contrôlé et chiffré ou par la boîte Gmail de quelqu’un.

Kiteworks propose la messagerie électronique, le partage et le transfert de fichiers, ainsi que des canaux dédiés capables de gérer de gros fichiers, d’imposer le chiffrement et les contrôles d’accès, et d’assurer une traçabilité complète de qui partage quoi avec qui.

Résultat concret : le personnel peut continuer à travailler rapidement sans recourir à des liens de partage grand public ou transférer des documents sur des comptes personnels « juste cette fois ». C’est ce « juste cette fois » qui déclenche la plupart des fuites de données.

Un principe du moindre privilège réellement applicable, pas seulement théorique

Un thème récurrent dans les violations santé : des accès non autorisés qui n’auraient jamais dû être possibles — ou qui auraient dû déclencher une alerte bien plus tôt.

Kiteworks met l’accent sur les contrôles d’accès, l’authentification multifactorielle, la gestion centralisée des accès utilisateurs, les contrôles d’autorisations et la surveillance des activités sur l’ensemble de ses solutions santé et HIPAA.

C’est ainsi que le principe du moindre privilège passe du statut de bonne intention à celui d’exigence mesurable : rôles définis, conditions appliquées et journaux qui racontent l’histoire quand cela compte.

Une auditabilité qui facilite les enquêtes et la conformité réglementaire

Quand un incident chez un prestataire devient votre incident, il vous faut des preuves. Pas des suppositions. Pas des « on pense que ». Des preuves. Qui a accédé aux informations médicales protégées. À quoi ils ont accédé. Ce qui a été partagé à l’externe. Quels partenaires l’ont reçu. Si vous pouvez prouver la maîtrise de l’incident.

Kiteworks fournit des journaux d’audit détaillés sur tous les canaux dans les cas d’usage santé, avec des logs immuables et une journalisation unifiée qui répondent à la fois aux obligations de conformité et aux besoins d’investigation.

En cas de violation, c’est la différence entre « on pense avoir contenu l’incident » et « voici la preuve ».

Alignement avec les partenaires commerciaux et BAAs

Les organismes de santé ont besoin de clarté contractuelle et opérationnelle avec chaque prestataire qui manipule des informations médicales protégées.

Kiteworks signe un Business Associate Agreement avec ses partenaires santé, considérant cela comme un élément fondamental de la conformité HIPAA.

Les contrats n’empêchent pas les violations. Mais ils déterminent la rapidité de la coordination en cas d’incident, les obligations qui s’appliquent dès que le compte à rebours démarre, et qui devra rendre des comptes lorsque les régulateurs poseront des questions.

Liste d’actions concrètes pour les responsables santé

Si vous travaillez dans la sécurité santé, vous n’avez pas besoin de motivation. Il vous faut un plan qui tienne la route dès lundi matin.

1. Cartographiez chaque point de sortie des informations médicales protégées. Pas les flux théoriques — les vrais. E-mail, portails, référencements, imagerie, assureurs, prestataires, et ces workflows « temporaires » devenus permanents depuis deux ans et dont personne ne veut parler.
2. Réduisez le nombre d’outils capables de transférer des informations médicales protégées. Chaque canal supplémentaire est une exception de politique en attente et une surface d’attaque à surveiller.
3. Isoler les échanges d’informations médicales protégées. Placez les communications sensibles dans un environnement dédié avec chiffrement fort, contrôle d’accès strict et traçabilité complète. Le schéma des violations santé est clair et récurrent : les failles sont toujours dans les échanges.
4. Appliquez le moindre privilège et l’authentification multifactorielle partout où circulent des informations médicales protégées. Portez une attention particulière aux portails web et aux systèmes de type clearinghouse où des rapports historiques s’accumulent discrètement, créant des gisements de données que personne ne surveille activement.
5. Entraînez la réponse aux incidents comme une opération clinique. Parce que c’en est une. Notification de violation, communication patient, coordination avec les régulateurs, conservation des preuves, et escalade prestataire doivent être répétés jusqu’à devenir routiniers. Si votre dernier exercice de simulation remonte à « l’an dernier », c’est trop vieux.

Gardez toujours à l’esprit les délais de conformité. La HHS est très claire sur les attentes en matière de notification et les conséquences d’un reporting tardif en cas de violation impliquant des informations médicales protégées non sécurisées.

Et maintenant ?

Terry Reilly Health Services précise que les patients concernés seront informés par courrier et bénéficieront d’un service de surveillance, Kroll étant cité comme prestataire dans la presse locale.

La communication plus large autour de l’incident TriZetto indique qu’il s’agit d’un problème de portail prestataire impliquant des rapports historiques d’éligibilité, avec une chronologie remontant à fin 2024 avant détection en 2025.

Même si vous n’avez jamais eu affaire à Terry Reilly Health Services, la leçon s’applique à tous les prestataires de santé, partenaires commerciaux et patients du pays.

Votre DSE n’est pas le seul champ de bataille. Le vrai champ de bataille, c’est partout où les informations médicales protégées circulent après avoir quitté l’écran — chaque portail, chaque échange prestataire, chaque vérification d’éligibilité, chaque transfert de fichier. C’est là que les attaquants opèrent, et c’est là que les organismes de santé doivent cesser d’espérer et commencer à bâtir de vraies défenses.

Kiteworks est conçu pour cette couche : échange chiffré d’informations médicales protégées, protection des données en zéro trust et preuves prêtes pour l’audit sur tous les canaux utilisés au quotidien par les équipes santé.

Pour découvrir comment Kiteworks peut vous aider, réservez votre démo sans attendre !

Ressources complémentaires

• Article de blog Zero Trust Architecture : ne jamais faire confiance, toujours vérifier
• Vidéo Microsoft GCC High : les inconvénients qui poussent les sous-traitants de la défense vers des alternatives plus intelligentes
• Article de blog Sécuriser les données confidentielles une fois signalées par la DSPM
• Article de blog Instaurer la confiance dans l’IA générative grâce à une approche Zero Trust
• Vidéo Guide ultime pour le stockage sécurisé des données sensibles à destination des responsables IT