SickKids data breach exposes employee and job applicant info

Fuite de données chez SickKids : les employés et candidats visés

L’hôpital pour enfants « The Hospital for Sick Children » (SickKids) a subi une violation de données personnelles touchant ses employés (actuels et anciens) ainsi que ses candidats à l’embauche. L’incident a été causé par une faille de sécurité dans un logiciel tiers utilisé pour le portail de recrutement de l’institution.

Points clés :

• Périmètre : Seules les données administratives liées au recrutement ont été exposées. Les systèmes cliniques et les dossiers médicaux des patients restent sécurisés et opérationnels.
• Origine : L’attaque exploite une vulnérabilité logicielle tierce, dont le fournisseur et le nom n’ont pas été divulgués par l’hôpital.
• Impact : Bien que le nombre exact de victimes ne soit pas précisé, les portails de carrière contiennent des informations sensibles (noms, adresses, historique professionnel) prisées pour l’usurpation d’identité et l’ingénierie sociale.
• Historique : Il s’agit du troisième incident de cybersécurité majeur pour SickKids ces dernières années, après une attaque par ransomware LockBit en 2022 et la fuite de données liée à l’exploitation du zero-day MOVEit (CVE-2023-34362) en 2023.

Vulnérabilités :

• Aucune CVE n’a été spécifiée pour cet incident précis ; l’hôpital indique qu’il s’agit d’une faille dans une application tierce non nommée.

Recommandations :

• Surveillance : SickKids offre 24 mois de services de surveillance du crédit et de protection contre l’usurpation d’identité aux personnes potentiellement concernées.
• Notification : L’hôpital procède à une identification des victimes pour une notification directe.
• Prudence : Les personnes concernées doivent rester vigilantes face à d’éventuelles tentatives de phishing ou d’ingénierie sociale utilisant les données professionnelles dérobées.

Source