Un juge a autorisé une partie d’un recours collectif à progresser contre le groupe hospitalier Ascension, suite à une importante violation de données survenue en mai 2024. La décision fait suite à des allégations de négligence de la part des plaignants concernant la protection de leurs informations personnelles lors d’une attaque par rançongiciel.
Dans un jugement rendu mardi, le juge John Ross a estimé que les arguments des plaignants, selon lesquels Ascension n’avait pas pris les mesures nécessaires pour sécuriser leurs données, méritaient d’être examinés plus en détail. Il a également validé plusieurs plaintes fondées sur les lois américaines de protection des consommateurs.
L’attaque par rançongiciel, qui a frappé Ascension en mai 2024, a perturbé le fonctionnement de plus de 100 hôpitaux et établissements de soins gérés par le groupe à travers les États-Unis. Des systèmes essentiels, notamment les dossiers médicaux électroniques, ont été mis hors service, obligeant certains établissements à rediriger les patients en urgence vers d’autres hôpitaux. L’incident a compromis les données personnelles de plus de 5,4 millions de personnes, selon les déclarations faites aux autorités fédérales.
Le recours collectif, déposé une semaine après la découverte de la cyberattaque, accuse Ascension de ne pas avoir doté son système informatique de mesures de sécurité adéquates, facilitant ainsi l’accès des cybercriminels aux informations des patients. Les plaignants craignent désormais un « risque imminent et continu » de vol d’identité et doivent surveiller leurs comptes pour détecter toute activité frauduleuse, ainsi que gérer un afflux d’appels et de messages indésirables.
Certains patients ont également signalé des conséquences directes de la violation de données, notamment des transactions bancaires frauduleuses, des retards dans la prise en charge médicale et la découverte d’informations de santé protégées publiées sur le dark web.
Ascension avait initialement contesté le recours, arguant que les plaignants n’avaient subi aucun préjudice en raison de la cyberattaque et qu’ils ne pouvaient établir de lien direct entre les irrégularités financières ou les mentions sur le dark web et la violation de données. Cependant, le juge Ross a jugé que le risque de préjudices futurs, compte tenu de la nature sensible des informations exposées et des signalements d’activités bancaires suspectes, était suffisamment élevé pour justifier la poursuite de l’affaire.
« Bien qu’Ascension affirme que des incidents isolés d’activité bancaire suspecte ou de mentions sur le dark web pourraient être attribués à d’autres causes, les demandeurs soutiennent que ces événements se sont produits après et à la suite de la violation et croient que leurs préjudices y sont traçables », a écrit le juge Ross dans sa décision. « À ce stade précoce de la procédure, le tribunal considère les allégations comme vraies et les juge suffisantes pour autoriser les demandeurs à mener une enquête sur cette question. »
Ascension n’a pas répondu aux sollicitations des médias au moment de la publication de cet article.
La cybersécurité représente un défi croissant pour le secteur de la santé, les hôpitaux et autres organisations étant de plus en plus ciblés par des pirates informatiques en raison de la valeur des données qu’ils détiennent. Les violations de données sont également coûteuses pour les établissements de santé : Ascension a enregistré une perte nette de 1,1 milliard de dollars (environ 920 millions d’euros) en 2024, en partie à cause des conséquences de la cyberattaque, notamment des retards dans les processus de facturation et les coûts de remédiation. Le groupe a cependant retrouvé la rentabilité en 2025, affichant un bénéfice net de 917,7 millions de dollars (environ 770 millions d’euros) pour l’exercice clos le 30 juin.
