La fuite chez Marathon Health expose les données personnelles et de santé de plus de 270 000 personnes

Le 30 octobre 2026, Marathon Health — un prestataire américain de soins primaires financés par les employeurs, qui exploite des centres de santé et des services de télésanté pour les entreprises et leurs salariés à travers le pays — a commencé à notifier les régulateurs et les personnes concernées d'une fuite de données ayant exposé les informations personnelles et de santé de plus de 270 000 personnes. Selon des dépôts rapportés dans plusieurs États, la compromission découle d'une attaque par ingénierie sociale au cours de laquelle un intrus se faisant passer pour un informaticien de Marathon Health a amené un employé à lui communiquer ses identifiants de connexion.

Le déroulement de l'attaque

Marathon Health a indiqué avoir reçu une alerte concernant une activité suspecte sur le compte d'un employé le 24 août 2026 et avoir désactivé ce compte. Une enquête ultérieure a établi que l'attaquant avait utilisé les identifiants volés pour accéder à une application hébergée dans le cloud et en exporter des données. Le 9 septembre 2026, l'entreprise avait confirmé que des informations personnelles appartenant à des individus présents dans ses systèmes avaient été obtenues par la partie non autorisée. La technique d'usurpation du service d'assistance informatique au cœur de cet incident est devenue un motif récurrent des intrusions récentes, où les attaquants contournent les contrôles techniques en persuadant une personne de céder son accès plutôt qu'en exploitant un logiciel.

Ce qui a été exposé

Les données concernées varient selon les individus mais, d'après les synthèses des dépôts d'État, peuvent inclure noms, dates de naissance, adresses et coordonnées, numéros de sécurité sociale, dossiers médicaux et autres informations de santé, ainsi que des détails d'assurance maladie. Comme Marathon Health dispense des soins cliniques, l'exposition couvre à la fois des données d'identité classiques et des informations de santé protégées, ce qui accroît le risque d'usurpation d'identité et de fraude à l'assurance pour les personnes touchées.

Ampleur et réponse

Les dépôts réglementaires font état d'au moins 234 534 personnes concernées au Texas, 29 075 dans le Massachusetts et 8 858 dans le Vermont — soit un total combiné de plus de 272 000 — et des notifications ont également été déposées auprès des procureurs généraux de plusieurs autres États, de sorte que le chiffre réel pourrait être plus élevé. Marathon Health a déclaré avoir désactivé le compte compromis, enquêté sur l'étendue de l'accès et commencé à envoyer des avis écrits aux personnes concernées. L'entreprise, qui a absorbé l'exploitant de cliniques sur site Everside Health lors d'une fusion en 2024, fait face à l'examen de cabinets de plaignants ayant annoncé des enquêtes sur d'éventuelles actions collectives dans les jours suivant la divulgation.