Denver Health Medical Plan : la clé d’un fournisseur est restée publique en ligne plus d’un an

Denver Health Medical Plan, un régime de santé sans but lucratif du Colorado qui gère les prestations Medicaid de membres à Denver et dans les comtés voisins, écrit à 238 083 membres actuels et anciens. Un fournisseur a publié par erreur une clé d’accès à une base de données sur un site Web public, où elle est restée plus d’un an. Si vous êtes membre ou avez reçu une lettre, voici ce qui s’est passé.

Ce qui s’est passé

Le fournisseur est SquareML, qui offre une plateforme d’analytique en santé. SquareML a informé le régime le 14 août 2026 qu’une clé d’accès avait été publiée sur un site Web public le 27 juin 2025, selon SecurityWeek (en anglais). La clé a été révoquée le 18 août 2026. Pendant cette période, quiconque la trouvait aurait pu s’en servir pour lire une base de données que SquareML tenait sur les membres du régime.

Selon l’avis du régime, rapporté par The HIPAA Journal (en anglais), les renseignements qui ont pu être vus comprennent :

• les noms, les dates de naissance, ainsi que la ville, l’État et le code ZIP
• des renseignements démographiques et l’admissibilité au régime
• le nom des fournisseurs de soins et les détails d’admission, de congé et de transfert à l’hôpital
• des mesures de santé comme l’IMC et des résultats d’analyses sanguines

Les numéros de sécurité sociale et les renseignements financiers ne figuraient pas dans la base de données. La clé ne permettait que la lecture : elle ne pouvait pas servir à télécharger, exporter, modifier ou supprimer des dossiers. Le régime dit n’avoir aucune preuve que les renseignements ont été vus ou utilisés à mauvais escient, seulement qu’ils auraient pu l’être. Les mots de passe de tous les comptes ayant accès à la base ont été réinitialisés, et des lettres ont été postées aux membres touchés.

Ce que ça veut dire pour vous

Comme aucun numéro de sécurité sociale ni aucune donnée bancaire n’est en cause, le risque que quelqu’un ouvre du crédit à votre nom à cause de cette seule fuite est faible. Les renseignements de santé restent toutefois personnels, et un nom accompagné d’une date de naissance est utile aux fraudeurs. La suite la plus probable : un appel ou une lettre qui se fait passer pour votre régime ou pour Medicaid et vous demande de « vérifier » des renseignements ou de payer pour garder votre couverture.

Ce que vous pouvez faire

1. Lisez la lettre si vous en avez reçu une, et appelez le numéro qui y est indiqué pour toute question.
2. Méfiez-vous des appels inattendus au sujet de votre couverture. Si quelqu’un vous demande un paiement ou des renseignements personnels pour garder vos prestations, raccrochez et appelez le numéro inscrit sur votre carte de membre.
3. Vérifiez les relevés de prestations que vous recevez pour repérer des visites ou des services que vous ne reconnaissez pas, et signalez toute anomalie à votre régime.
4. Apprenez à reconnaître les stratagèmes. Voyez comment les fraudeurs utilisent les données divulguées.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. La recherche automatique de fuites n’est pas encore offerte. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

Sources

• SecurityWeek, Vendor Key Leak Puts Data of 238,000 Denver Health Plan Members at Risk (en anglais), 27 octobre 2026
• The HIPAA Journal, Denver Health Medical Plan Discloses Vendor Breach Affecting 238K Members (en anglais), 26 octobre 2026