Marathon Health dit qu’un faux technicien informatique est entré, et avise environ 5,7 millions de personnes

Marathon Health gère des centres de santé pour des employeurs aux États-Unis : des cliniques sur le lieu de travail ou à proximité, plus des soins virtuels, offerts au personnel et à leur famille comme avantage social. L’entreprise envoie maintenant des lettres au sujet d’un vol de données qui a commencé par un seul employé trompé. Des déclarations aux États chiffrent à environ 5,7 millions le nombre de personnes avisées, ce qui en ferait, selon The HIPAA Journal, la quatrième fuite en importance signalée cette année par un organisme de santé américain visé par la loi HIPAA. Vous pourriez recevoir une lettre même si vous n’avez jamais été patient de Marathon. Voici ce que l’entreprise a dit et ce que vous pouvez faire.

Ce qui s’est passé

Dans la lettre d’avis que Marathon a déposée auprès du procureur général de la Californie, l’entreprise dit avoir reçu le 24 août 2026 une alerte au sujet d’activités suspectes dans le compte d’un de ses employés. Elle a désactivé le compte et lancé une enquête avec des spécialistes externes en cybersécurité. L’enquête a établi qu’« une personne non autorisée se faisant passer pour un employé informatique de Marathon a pu obtenir les identifiants de l’employé, s’en est servie pour accéder à une application hébergée dans le nuage et a exporté des renseignements pendant cet accès ». Marathon dit que tout s’est passé en quelques heures le 24 août. Le 9 septembre, elle a confirmé que des renseignements personnels avaient été pris.

La lettre dit que les données venaient « d’une de nos bases de données internes d’opérations de soins de santé ». Marathon n’a pas dit quelle application infonuagique a été utilisée ni qui est derrière l’attaque. BankInfoSecurity rapporte que le groupe d’extorsion ShinyHunters n’avait pas inscrit Marathon parmi ses victimes sur son site en date du 2 novembre, et The HIPAA Journal n’a trouvé aucun groupe revendiquant l’attaque.

Ce qui a été pris

Selon la lettre, les renseignements « variaient selon la personne » et pouvaient comprendre :

• le nom
• la date de naissance
• les coordonnées
• le numéro de sécurité sociale (Social Security number)

The HIPAA Journal rapporte que les déclarations aux procureurs généraux du Texas et du Vermont mentionnent aussi des renseignements médicaux et d’assurance maladie. La lettre de Marathon elle-même ne parle pas de diagnostics ni de traitements, alors si vous en recevez une, lisez attentivement les catégories qui s’appliquent à vous.

Qui est touché

Les chiffres viennent des déclarations aux États. Le Massachusetts a été avisé que 29 075 de ses résidents étaient touchés, le Vermont 8 858 et le Texas 234 534, selon The HIPAA Journal et BankInfoSecurity. Les deux médias citent aussi le cabinet d’avocats Emery Reddy, selon qui Marathon a dit au Texas que 5 684 735 personnes au total sont avisées. Marathon n’a pas confirmé ce total publiquement, et la fuite ne figurait pas encore sur le portail public du département américain de la Santé et des Services sociaux au moment de leurs articles. Les lettres ont commencé à partir le 20 octobre.

Si autant de gens sont inclus, c’est à cause du fonctionnement de l’avantage. Pour vérifier la couverture, prendre des rendez-vous et facturer les assureurs, Marathon reçoit des renseignements sur toutes les personnes inscrites à un régime d’employeur admissible, pas seulement sur celles qui vont en clinique. L’Université de l’Indiana, une de ses clientes, a dit à son personnel dans un avis du 15 octobre que les personnes inscrites à certains régimes médicaux de l’université pourraient être touchées « même si elles n’ont jamais reçu de soins de Marathon Health », rapporte BankInfoSecurity. Si votre employeur, votre syndicat ou votre employeur public offre les cliniques Marathon, vous pourriez faire partie des données même si le nom ne vous dit rien.

Ce que Marathon offre

Marathon offre 12 ou 24 mois de surveillance d’identité gratuite par Epiq Monitoring Solutions, qui comprend la surveillance du crédit, la surveillance du Web clandestin et de l’aide pour se remettre d’un vol d’identité. Chaque lettre a son propre code d’activation et sa date limite d’inscription. Marathon dit ne pas avoir de preuve que les renseignements ont été ou seront utilisés à mauvais escient, et avoir ajouté des protections. Son centre d’appels pour cet incident est le 888-517-6416, du lundi au vendredi, de 9 h à 21 h, heure de l’Est.

Une tendance plus large

Téléphoner à un employé en se faisant passer pour le service informatique est l’une des façons les plus courantes d’entrer dans une entreprise cette année. Nous avons expliqué comment fonctionnent ces appels, et pourquoi vos données sont touchées même si ce n’est pas vous qui avez reçu l’appel. La même méthode est à l’origine des récentes intrusions dans plusieurs grands cabinets d’avocats canadiens. BankInfoSecurity note que le Health Information Sharing and Analysis Center a averti ses membres en septembre d’une hausse de ces stratagèmes contre les organismes de santé, dont beaucoup font appel à l’hameçonnage vocal. Aucune preuve publique ne relie la fuite chez Marathon à ces autres cas.

Ce que vous pouvez faire

1. Lisez attentivement votre lettre et notez les renseignements qu’elle mentionne pour vous. Si vous doutez qu’une lettre soit authentique, appelez le numéro indiqué dans la déclaration de Marathon (888-517-6416) plutôt qu’un numéro reçu par courriel ou texto.
2. Activez la surveillance avant la date limite avec le code de la lettre. C’est gratuit et ça n’a pas d’effet sur votre cote de crédit.
3. Envisagez un gel de crédit auprès d’Equifax, d’Experian et de TransUnion. Avec un numéro de sécurité sociale et une date de naissance exposés, un gel est la meilleure protection contre l’ouverture de comptes à votre nom, et il est gratuit.
4. Surveillez vos relevés d’assurance (explanation of benefits) pour repérer des visites ou des ordonnances que vous ne reconnaissez pas, et signalez-les à votre assureur.
5. Méfiez-vous des appels et des courriels au sujet de cette fuite, surtout ceux qui offrent de vous « aider » moyennant des frais ou qui vous demandent de confirmer votre numéro de sécurité sociale. La lettre de Marathon ne vous demande rien.
6. Apprenez à reconnaître les stratagèmes. Voyez comment les fraudeurs utilisent les données divulguées.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent de donner à chaque entreprise ou inscription sa propre adresse, pour qu’une fuite n’atteigne pas tout. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• L’appel téléphonique derrière les plus grosses fuites de 2026 : comment des appelants qui se font passer pour le service informatique entrent, et ce qui les arrête.
• De faux techniciens informatiques sont entrés dans au moins quatre cabinets d’avocats canadiens : la même méthode, utilisée contre des cabinets qui détiennent des dossiers de clients.

Sources

• Marathon Health, lettre d’avis déposée auprès du procureur général de la Californie (en anglais), octobre 2026 (fiche)
• The HIPAA Journal, « Marathon Health Data Breach Reportedly Affects 5.7 Million Individuals » (en anglais), 3 novembre 2026
• BankInfoSecurity, « Marathon Health Hack Reportedly Affects Nearly 5.7 Million » (en anglais), 2 novembre 2026