Une fuite de données touchant le système de prescription de tests de laboratoire de Quest Diagnostics laisse les patients et les professionnels de santé dans l’attente de savoir quels dossiers ont été exposés.
L’opérateur de laboratoires a déclaré le 22 octobre avoir découvert la veille un accès non autorisé à son système Quanum Lab Services Manager. Quest estime que certains dossiers de patients ont été consultés, mais le nombre de personnes concernées et la nature exacte des dossiers impliqués restent inconnus.
Pour les établissements utilisant Quanum LSM, l’enjeu immédiat consiste à continuer de transmettre les prescriptions et les résultats de laboratoire en attendant de savoir quels patients et quels types d’informations sont concernés.
Ce que Quest a confirmé
Dans son document déposé auprès de la SEC, Quest a déclaré avoir activé ses procédures de réponse aux incidents de cybersécurité, alerté les autorités fédérales et fait appel à des experts externes en cybersécurité. L’entreprise a précisé que l’incident n’avait pas perturbé de manière significative ses activités ni sa capacité à servir les patients.
Cette divulgation n’établit pas que des numéros de sécurité sociale, des informations financières ou des résultats de tests précis ont été exposés. Selon les informations rapportées par AP.
Cette distinction est importante, car les informations concernées détermineront les risques encourus par les patients et les mesures de protection à prendre. Des incidents de santé précédents, notamment la fuite de données de TriZetto et les poursuites qui ont suivi, ont mis en évidence les inquiétudes concernant la rapidité et la clarté des notifications de fuite de données.
Pourquoi les informations des patients peuvent créer des risques durables
Ross Filipek, RSSI chez Corsica Technologies, a déclaré que les conséquences potentielles dépendraient des conclusions de l’enquête.
« La plateforme Quanum de Quest se trouve à l’intersection sensible des informations des patients et du travail quotidien des laboratoires. Selon les données consultées, ces dossiers pourraient fournir aux criminels de quoi commettre des fraudes à l’identité ou envoyer des messages convaincants au sujet des soins d’une personne. Une escroquerie faisant référence à un véritable test peut sembler bien plus crédible qu’un e-mail d’hameçonnage générique, et les patients ne peuvent pas simplement remplacer leurs antécédents médicaux après une exposition », a déclaré Filipek.
Il s’agit de risques potentiels, et non de conséquences confirmées de cet incident. Les informations disponibles n’établissent pas que des criminels ont utilisé les dossiers concernés pour commettre des fraudes ou lancer des escroqueries ciblées.
Les récentes campagnes d’hameçonnage via les calendriers Microsoft 365 illustrent ce phénomène : des communications d’apparence familière peuvent devenir des vecteurs de vol d’identifiants.
Ce qui reste disponible pour les professionnels de santé
Quest a suspendu l’accès à Quanum LSM après avoir découvert l’activité non autorisée. Dans son avis d’incident, l’entreprise a indiqué que ses activités essentielles se poursuivaient.
Les professionnels utilisant des interfaces directes avec le système d’information de laboratoire (LIS) ou des dossiers médicaux électroniques (DME) peuvent continuer à passer des prescriptions par ces connexions, que Quest a déclarées non affectées.
Quest a indiqué prévoir le rétablissement de toutes les fonctionnalités dès le 23 octobre, mais cette estimation ne confirme pas que le service a repris. Les clients de Quanum LSM concernés peuvent utiliser des formulaires papier ou Quanum eLabs pour passer des prescriptions et recevoir les résultats. Quest propose également des options par téléphone et par télécopie électronique pour obtenir les résultats.
Les établissements touchés par la suspension devraient confirmer directement auprès de Quest les procédures disponibles et suivre les prescriptions et résultats en attente. Leur plan de réponse aux incidents devrait attribuer les responsabilités relatives à la continuité, aux communications et aux demandes des patients, parallèlement à l’enquête technique.
Maintenir la continuité des soins tout en examinant les accès
Pour les équipes chargées de la sécurité des systèmes de santé, le rétablissement du service et l’enquête sur l’exposition des données des patients nécessitent des démarches distinctes. Le bon fonctionnement d’une connexion de prescription ne permet pas de déterminer quels dossiers un intrus a consultés ni de répondre au besoin de communiquer avec les patients.
« Pour les organisations de santé, la leçon pratique consiste à examiner la quantité d’informations sur les patients à laquelle chaque compte peut accéder, a déclaré Filipek. La surveillance doit détecter les accès inhabituels avant qu’un processus légitime ne devienne un moyen d’accéder aux dossiers. »
Les organisations utilisant Quanum LSM devraient recenser les processus concernés, documenter les dispositions provisoires et désigner une personne chargée de suivre les mises à jour de Quest. Les équipes de sécurité et de protection de la vie privée devraient rechercher les informations sur les comptes concernés, les dates d’accès et les catégories de données à mesure que les conclusions seront disponibles. Ces éléments pourront orienter les contrôles des accès et déterminer si une enquête ou des mesures de protection supplémentaires sont nécessaires.
Les patients devraient suivre les mises à jour vérifiées sans partir du principe que tous les clients de Quest sont concernés. La prochaine avancée importante sera une description plus précise des personnes dont les informations ont été consultées et de leur contenu. D’ici là, les professionnels de santé devraient assurer la continuité et se préparer à agir en fonction de conclusions précises, tandis que les patients vérifient les communications et donnent suite aux tests en attente.
Pour en savoir plus : la fuite de données de DentaQuest a touché 15 millions de personnes et montre pourquoi l’association d’informations de santé et d’identité exposées est importante.