NYC Health + Hospitals a révélé une cyberattaque majeure qui a révélé des données personnelles, médicales et biométriques sensibles appartenant à environ 1,8 million de personnes. Cette violation est désormais considérée comme l’un des plus grands incidents de sécurité sanitaire signalés en 2026.
Selon le prestataire de soins publics, les attaquants ont obtenu un accès non autorisé aux systèmes internes entre novembre 2025 et février 2026 avant que l’intrusion ne soit détectée et contenue. L’organisation a indiqué qu’une activité suspecte avait été découverte le 2 février, ce qui a déclenché une enquête interne et des mesures d’intervention d’urgence.
Les données compromises comprennent des dossiers médicaux hautement sensibles, des informations d’assurance, des détails de facturation, des numéros de sécurité sociale, des données de permis de conduire et des documents d’identité délivrés par le gouvernement. La fuite a également révélé des informations biométriques, notamment des numérisations d’empreintes digitales et d’empreintes de paume, soulevant des préoccupations à long terme concernant la vie privée et la sécurité de l’identité.
Contrairement aux mots de passe ou aux cartes de paiement, les identifiants biométriques ne peuvent pas être modifiés une fois compromis. Les experts en sécurité avertissent que les données volées d’empreintes digitales et d’empreintes de paume pourraient créer des risques permanents pour les personnes concernées si ces informations sont ensuite utilisées pour des tentatives de fraude, d’usurpation d’identité ou de vérification d’identité.
NYC Health + Hospitals a déclaré que la violation semble avoir procédé à un fournisseur tiers compromis. Le prestataire de soins n’a pas identifié publiquement le fournisseur impliqué mais a confirmé que les attaquants ont pu accéder et copier des fichiers depuis les systèmes internes pendant la fenêtre d’intrusion.
Les chercheurs continuent d’avertir que les organisations de santé restent des cibles de grande valeur pour les cybercriminels, car les dossiers médicaux contiennent de nombreuses informations personnelles et financières pouvant être exploitées lors de campagnes de phishing, de fraude à l’assurance, de vol d’identité et d’attaques d’ingénierie sociale. Les réseaux de santé sont également fortement interconnectés avec les fournisseurs, les sous-traitants et les prestataires de services externes, ce qui augmente l’exposition aux risques liés à la chaîne d’approvisionnement.
L’organisation a indiqué que les personnes concernées sont informées et qu’on leur propose des services de protection d’identité et de surveillance du crédit. Les responsables ont également signalé l’incident au Département américain de la Santé et des Services sociaux, comme l’exigent les réglementations fédérales sur les violations des soins de santé.
Cet incident s’ajoute aux préoccupations croissantes concernant la cybersécurité dans le secteur de la santé, où les attaques par ransomware, les violations de tiers, ainsi que les expositions massives aux données de patients continuent d’augmenter. Les analystes de la sécurité ont à plusieurs reprises averti que les hôpitaux et les systèmes de santé publics restent vulnérables en raison de l’infrastructure vieillissante, des écosystèmes de fournisseurs complexes et de la grande valeur des informations médicales sur les marchés souterrains de la cybercriminalité.