Quest Diagnostics confirme que des dossiers de patients ont été compromis lors d'une cyberattaque visant sa plateforme de laboratoire

Quest Diagnostics a révélé dans un rapport 8-K déposé auprès de la Securities and Exchange Commission (SEC) que des pirates informatiques avaient obtenu un accès non autorisé à des données de santé et de facturation de patients, confirmant une cyberattaque dont elle a pris connaissance pour la première fois le 21 octobre, selon les informations initiales de TechCrunch. La faille a visé Quanum, une plateforme de laboratoire qui permet aux cabinets médicaux, hôpitaux et établissements de santé de commander des analyses de laboratoire et de gérer la facturation, et qui stocke les dossiers de santé et médicaux des patients ainsi que des données de diagnostic.

Quest a déclaré que l'accès non autorisé incluait «certains dossiers de patients» et que des informations de santé protégées de certains patients avaient été dérobées, y compris des informations personnelles et des dossiers médicaux, mais l'entreprise a précisé qu'elle était encore en train de déterminer exactement quelles données avaient été touchées. Quest a informé les forces de l'ordre fédérales et a fait appel à des experts en sécurité externes, et affirme que ses opérations de laboratoire principales et les autres systèmes de commande destinés aux clients n'ont pas été affectés. L'entreprise n'a pas révélé combien de patients ou de prestataires de soins de santé sont concernés, si un groupe de pirates a exigé une rançon, ni quand l'intrusion a réellement commencé.

L'ampleur de ce qui pourrait être exposé est significative même sans un décompte confirmé des patients : Quest indique que Quanum est utilisé par environ un demi-million de cliniciens à travers des milliers de sites en Amérique du Nord, et les propres études de cas de l'entreprise décrivent des systèmes de santé individuels comptant plus de 6 millions de patients stockant des centaines de millions de documents médicaux sur la plateforme. Un avis de sécurité publié par Quest sur son site web était marqué pour empêcher son indexation par les moteurs de recherche, et un porte-parole de l'entreprise a renvoyé les journalistes vers cet avis plutôt que de répondre directement aux questions.

Il s'agit de la deuxième faille de données majeure révélée par Quest en environ une décennie. En 2019, une cyberattaque visant un prestataire de facturation tiers avait exposé les dossiers de 11,9 millions de patients de Quest. Cette nouvelle faille survient également au milieu d'une vague d'attaques contre les entreprises de santé et de technologie médicale en 2026 : le fabricant de dispositifs médicaux Boston Scientific a vu son réseau mis hors ligne pendant des semaines après une attaque en août, l'entreprise de technologie médicale Stryker a subi l'effacement massif des appareils de ses employés en mars, et des failles distinctes ont touché cette année CareCloud, Craneware et McKesson. Les prestataires de soins de santé restent l'un des secteurs les plus ciblés par les attaques de rançongiciels et de vol de données, car les dossiers de patients combinent une valeur de revente élevée sur les marchés criminels avec des systèmes souvent difficiles à mettre hors ligne pour des mises à jour de sécurité sans perturber les soins aux patients.