Un piratage informatique visant les anciens systèmes de dossiers de santé d’Oracle Health pourrait avoir exposé les données personnelles et médicales d’environ 20 millions de personnes, selon des informations rapportées par Bloomberg, citant un rapport du bureau du procureur général du Texas. Ce chiffre est largement supérieur aux nombres apparus dans les précédentes notifications adressées aux patients et dans les dépôts réglementaires.
Oracle n’a pas publié de déclaration confirmant le nombre de personnes touchées et a refusé de commenter ce chiffre lorsque Bloomberg l’a interrogée. Si le bilan d’environ 20 millions de personnes se confirme, l’incident deviendrait l’un des plus importants piratages de données de santé jamais enregistrés aux États-Unis.
Comment le piratage s’est-il produit ?
Oracle a informé ses clients en mars 2025 qu’un accès non autorisé avait été détecté à certaines données de Cerner stockées sur un ancien serveur qui n’avait pas encore été transféré vers Oracle Cloud. L’entreprise a déclaré que les éléments disponibles indiquaient que l’attaquant avait utilisé des identifiants volés appartenant à l’un de ses clients pour accéder au serveur à un moment donné après le 22 janvier 2025, puis copier les données vers un serveur distant.
Les dépôts réglementaires effectués dans l’État de l’Oregon indiquent que la période du piratage s’est étendue du 22 janvier au 1er avril 2025, tandis que l’incident a été découvert le 20 février de la même année.
Quel type de données pourrait avoir été affecté ?
Un échantillon de notification envoyée par Cerner aux autorités réglementaires de Californie indique que les informations potentiellement concernées comprenaient les noms des personnes et leurs numéros de sécurité sociale, ainsi que des données figurant dans les dossiers médicaux, comme les numéros de dossiers médicaux, les noms des médecins, les diagnostics, les médicaments, les résultats d’examens, les images et les informations relatives aux soins et aux traitements.
Les notifications publiées jusqu’à présent révèlent une forte variation de l’ampleur de l’impact selon les États. Le portail du procureur général du Texas a recensé 2 992 244 personnes touchées, tandis que des notifications en Caroline du Sud et dans l’État de Washington ont fait état d’environ 283 000 et 69 000 personnes respectivement.
Pourquoi cette information est-elle importante ?
L’importance de l’incident ne tient pas seulement à l’ampleur potentielle du nombre de personnes touchées, mais aussi à la nature des données ciblées. L’accès à des dossiers médicaux associés à des données d’identification et à un numéro de sécurité sociale peut accroître les risques de fraude et d’atteinte à la vie privée bien au-delà de la fuite de simples données de contact. L’incident met également en lumière les risques opérationnels qui peuvent subsister dans les anciens systèmes, même lorsque les organisations migrent vers des infrastructures cloud plus récentes.
Des sources avaient indiqué à l’époque que les tentatives d’extorsion visant les hôpitaux touchés étaient attribuées à un acteur malveillant isolé connu sous le nom d’« Andrew », sans qu’un lien avec un gang d’extorsion ou un rançongiciel connu soit annoncé. L’attaquant a exigé des millions de dollars en cryptomonnaies et créé des sites publics pour faire pression sur les victimes et empêcher la publication ou la vente des données.
Oracle a racheté Cerner en juin 2022 pour un montant d’environ 28,3 milliards de dollars, et l’entreprise opère depuis sous le nom d’Oracle Health. La comparaison la plus importante reste l’attaque par rançongiciel contre Change Healthcare en 2024, qui a touché 192,7 millions de personnes selon les chiffres annoncés. Le bilan définitif d’Oracle Health demeure incertain jusqu’à ce que l’entreprise ou les autorités réglementaires publient un chiffre global et vérifié.