Plus de 15 millions de personnes pourraient désormais avoir un problème très personnel : leurs informations dentaires, données d’identité officielles et informations de santé pourraient être entre les mains de pirates.
DentaQuest, un important administrateur américain de prestations dentaires et de santé visuelle, a commencé à informer les personnes touchées par une cyberattaque survenue en mai 2026, qui a compromis des informations personnelles et de santé sensibles.
L’entreprise a signalé 15 millions de personnes touchées aux autorités fédérales de réglementation, faisant de cet incident la plus importante violation de données de santé signalée au ministère américain de la Santé et des Services sociaux depuis le début de l’année, selon Healthcare Dive. Le total pourrait augmenter, un chercheur indépendant cité par le HIPAA Journal estimant que les données exposées pourraient concerner plus de 23,4 millions de personnes.
DentaQuest a découvert l’incident le 20 mai et a déterminé qu’un accès non autorisé à certaines parties de son réseau avait eu lieu du 17 au 20 mai. L’entreprise a engagé Kroll pour l’aider à identifier les informations compromises et à déterminer qui avait été touché.
Ce que la cyberattaque a exposé
Les informations compromises variaient selon les personnes et pouvaient inclure les noms, adresses, numéros de sécurité sociale, numéros d’identification des adhérents, numéros Medicaid et Medicare, ainsi que des informations dentaires ou de santé visuelle. Ces données de santé pouvaient comprendre les noms des prestataires, les diagnostics, les détails des traitements et les informations de facturation, selon la notification de violation de données de DentaQuest.
Les informations volées pourraient aller au-delà de ces catégories. avait précédemment identifié 2,6 millions d’adresses e-mail uniques dans les données divulguées, ainsi que des noms, adresses, numéros de téléphone, dates de naissance et sexes. Un dossier contiendrait plus de 1,7 million de numéros de sécurité sociale uniques.
DentaQuest n’a pas identifié publiquement les attaquants. Cependant, le groupe d’extorsion ShinyHunters a revendiqué l’attaque et aurait divulgué environ 234 Go de données volées à l’entreprise, selon le HIPAA Journal.
Un problème qui dépasse les chiffres
DentaQuest sert environ 32 millions de personnes par l’intermédiaire de ses régimes dentaires et de santé visuelle, ce qui confère à la violation un potentiel d’ampleur considérable. Plus important encore, les informations exposées combinent des données d’identité ordinaires avec des données de santé et des identifiants officiels.
Cette combinaison peut rendre les dossiers volés plus utiles pour le vol d’identité et la fraude qu’une simple fuite d’adresse e-mail et de mot de passe ne le serait. Le risque est également difficile à contenir une fois les informations publiées en ligne. DentaQuest a commencé à envoyer des lettres de notification le 17 juillet et propose aux personnes touchées 24 mois de surveillance du crédit, de conseil en matière de fraude et de services de restauration de l’identité après un vol.
Ce que les consommateurs doivent faire
Les personnes qui reçoivent une notification de violation de données de DentaQuest devraient profiter des services de surveillance proposés et surveiller leurs rapports de solvabilité ainsi que leurs comptes financiers afin de détecter toute activité suspecte.
L’incident montre également les limites de la réponse aux violations de données : la surveillance peut aider à détecter les utilisations abusives, mais elle ne peut pas faire disparaître les numéros de sécurité sociale, dossiers médicaux ou identifiants officiels divulgués. L’enquête de DentaQuest est toujours en cours, ce qui signifie que le nombre définitif de personnes touchées et l’étendue complète des données exposées n’ont pas encore été établis.
À lire : l’incident DentaQuest fait suite à une autre violation de données de santé impliquant MCBS, au cours de laquelle des attaquants ont exposé les informations personnelles et médicales de plus de 1,2 million de personnes.