La société fintech du secteur de la santé HealthEquity prévient qu'elle a subi une violation de données après que le compte d'un partenaire a été compromis et utilisé pour accéder aux systèmes de la société afin de voler des informations de santé protégées.

La société affirme avoir détecté la compromission après avoir détecté un « comportement anormal » sur l'appareil personnel d'un partenaire et a lancé une enquête sur l'incident.

L'enquête a révélé que le partenaire avait été compromis par des pirates informatiques qui ont exploité le compte piraté pour obtenir un accès non autorisé aux systèmes de HealthEquity et, plus tard, exfiltrer des données de santé sensibles.

« L'enquête a conclu que le compte utilisateur du partenaire avait été compromis par un tiers non autorisé, qui a utilisé ce compte pour accéder à des informations », lit le dossier SEC.

« Les informations consultées comprenaient des informations personnelles identifiables, qui dans certains cas sont considérées comme des informations de santé protégées, concernant certains de nos membres. »

« L'enquête a également conclu que certaines informations avaient été ultérieurement transférées hors des systèmes du partenaire. »

HealthEquity se spécialise dans la fourniture de services de comptes d'épargne santé (HSA) et d'autres solutions d'avantages sociaux orientées vers le consommateur, notamment des comptes de dépenses flexibles (FSA), des accords de remboursement de santé (HRA) et des régimes de retraite 401(k).

Il s’agit de l’un des plus grands dépositaires de HSA aux États-Unis, gérant des millions de comptes HSA, FSA, HRA et autres comptes d’avantages sociaux, et travaillant avec de nombreux employeurs et régimes de santé.

L'impact exact et le nombre de personnes touchées par l'incident de sécurité n'ont pas été divulgués, bien que HealthEquity affirme avoir commencé à informer les personnes concernées.

La société a également promis d’offrir des services gratuits de surveillance du crédit et de restauration de l’identité afin d’atténuer les risques pour les personnes exposées.

L'enquête interne de HealthEquity n'a pas permis de prouver que des logiciels malveillants avaient été installés sur ses systèmes et il n'y a eu aucune interruption technique. Toutes les opérations et tous les services de l'entreprise restent entièrement disponibles.

La Société évalue actuellement l’impact de l’incident et le coût de ses efforts de réponse, mais elle a noté qu’elle ne pense pas que l’incident aura un effet important sur ses activités ou ses résultats financiers.