Quest Diagnostics révèle une intrusion dans sa plateforme de commande d'analyses Quanum LSM

Le 23 octobre 2026, Quest Diagnostics Incorporated — la société de laboratoires d'analyses médicales basée à Secaucus, dans le New Jersey, et l'un des plus grands prestataires de tests diagnostiques des États-Unis — a révélé, dans un dépôt auprès de la Securities and Exchange Commission américaine, qu'un tiers non autorisé avait accédé à sa plateforme Quanum LSM, le système en ligne que certains clients utilisent pour passer des commandes d'analyses ainsi que pour recevoir et consulter les résultats. L'entreprise a indiqué avoir pris connaissance de cet accès non autorisé le 21 octobre 2026 et estimer, à ce stade, que l'intrus a accédé à certains dossiers de patients, tout en précisant que l'étendue complète restait à l'étude.

Selon le formulaire 8-K de Quest, l'entreprise a « rapidement déclenché ses procédures de réponse aux incidents de cybersécurité afin de contenir l'activité » et « fait appel à des experts externes en cybersécurité pour l'aider dans l'enquête et la réponse ». Quest a également informé les autorités fédérales chargées de l'application de la loi. Le dépôt précise que l'incident « n'a pas perturbé de manière significative les opérations commerciales de l'entreprise ni sa capacité à servir les patients », et il n'indique ni le nombre de patients concernés, ni les types de dossiers consultés, ni la date de début de l'accès non autorisé.

Systèmes mis hors ligne

Par précaution, Quest a indiqué avoir suspendu l'accès au système Quanum LSM concerné et conseillé à ses clients de recourir à d'autres méthodes de commande — telles que les bons de demande papier ou son interface Quanum eLabs — pendant la poursuite de l'enquête. L'entreprise a précisé que les utilisateurs des interfaces directes de systèmes d'information de laboratoire et des dossiers médicaux électroniques n'ont pas été touchés par la perturbation.

Questions en suspens

Le nombre de patients concernés, les catégories de données exposées et l'origine de l'intrusion restant tous indéterminés, et aucun groupe n'ayant publiquement revendiqué l'attaque au moment de la divulgation, le statut de l'incident est en cours. Quest a des antécédents d'expositions majeures liées à des tiers : en 2019, une intrusion chez son prestataire de recouvrement de factures AMCA avait exposé des données concernant environ 11,9 millions de patients de Quest, donnant lieu à des poursuites restées non résolues des années plus tard. L'incident de 2026 est un événement distinct, centré sur la plateforme Quanum LSM propre à Quest plutôt que sur le système d'un prestataire.