Les violations de données de santé ont touché des dizaines de millions d’Américains en 2026

Introduction

Les violations de données liées à la santé ont touché des dizaines de millions de personnes aux États-Unis en 2026, prolongeant une tendance pluriannuelle où le secteur demeure parmi les plus ciblés par les rançongiciels et le vol de données à grande échelle. Les incidents individuels de cette année sont d’une ampleur qui se suffit à elle-même : une seule violation chez un prestataire de cycle de revenus, Unlimited Technology Systems, a exposé les cartes d’identité gouvernementales scannées, les cartes d’assurance et les numéros de sécurité sociale de 3 803 750 personnes, en faisant la deuxième plus grande violation de données de santé signalée aux États-Unis en 2026. Une violation chez Baylor Genetics a touché 2 810 878 personnes, dont des nouveau-nés en soins critiques et des patientes de dépistage prénatal, exposant des résultats de tests génétiques et des données de laboratoire qui — contrairement à un mot de passe ou un numéro de carte bancaire — ne peuvent pas être réémis. NYC Health + Hospitals, le plus grand système de santé public du pays, a signalé plus de 1,8 million de personnes touchées, une revendication d’extorsion non vérifiée portant ce chiffre jusqu’à 12 millions, dans une violation ayant exposé des empreintes digitales et palmaires biométriques aux côtés de dossiers médicaux standards.

Pourquoi la santé continue d’être touchée via des prestataires, et non des attaques directes

Un schéma traverse les plus grandes violations de données de santé de l’année : l’endroit où la compromission s’est réellement produite. Quatre des plus grandes violations d’août 2026 se sont produites sur une infrastructure que l’organisation de santé touchée n’exploitait pas elle-même. La violation d’Unlimited Technology Systems en est l’exemple le plus clair — c’est un prestataire tiers de cycle de revenus, et non le réseau propre d’un hôpital, qui a été compromis, alors que les données exposées appartenaient aux patients de l’hôpital. C’est le point faible structurel de la sécurité de la santé : un hôpital ou un système de santé peut investir massivement dans ses propres défenses réseau et rester néanmoins exposé via un prestataire de facturation, un traitant de résultats de laboratoire, un fournisseur de stockage cloud, ou l’une des dizaines de tiers qui touchent aux données patients dans une chaîne d’approvisionnement de données de santé moderne.

D’autres incidents de 2026 suivent le même schéma. iRhythm, fabricant de dispositifs médicaux, a vu des données patients et propriétaires volées en juin 2026, bien que ses systèmes cliniques soient restés apparemment non affectés. One Medical Seniors a vu des dossiers patients archivés issus de ses anciens dossiers Iora Health et One Medical Seniors consultés, le groupe ShinyHunters revendiquant 8,8 téraoctets de données. La division Cancer Diagnostics d’Abbott Laboratories a été touchée en juillet 2026, ShinyHunters revendiquant un accès à plus d’un million de numéros de sécurité sociale et 22 millions de notes médecin-patient, les systèmes de sécurité des patients étant apparemment restés non affectés dans ce cas également.

Pourquoi le caractère permanent des données rend les violations de santé différentes

Ce qui distingue une violation de données de santé d’une violation typique dans le commerce ou la finance, c’est le caractère permanent de ce qui est exposé. Un numéro de carte bancaire volé peut être annulé. Un mot de passe volé peut être changé. Les résultats de tests génétiques, les empreintes digitales et palmaires biométriques, et les notes cliniques détaillées ne peuvent pas être réémis — une fois exposés, ils font peser un risque de fraude et d’atteinte à la vie privée sur toute la vie du patient, sans équivalent d’un gel de compte bancaire compromis. La violation de Baylor Genetics en est l’illustration la plus frappante : exposer les données génétiques de nouveau-nés en soins critiques et de patientes de dépistage prénatal signifie exposer des identifiants qui resteront sensibles pour toute la vie de cette personne, et potentiellement pertinents pour les informations de santé de ses enfants également.

Pourquoi HIPAA n’a pas résolu ce problème

HIPAA, la loi américaine sur la confidentialité et la sécurité des données de santé, fixe des exigences quant à la manière dont les entités couvertes et leurs partenaires commerciaux doivent protéger les données patients — mais elle n’a pas été conçue pour éliminer le mode de défaillance spécifique qui alimente les plus grandes violations de 2026 : la compromission chez un prestataire tiers dont dépend un hôpital mais qu’il ne contrôle pas directement. Le cadre des accords de partenaire commercial (Business Associate Agreement) de HIPAA exige des prestataires qu’ils s’engagent contractuellement à protéger les données patients, mais un engagement contractuel ne renforce pas, à lui seul, la posture de sécurité réelle d’un prestataire. Le résultat est un cadre réglementaire qui attribue clairement les obligations de conformité mais qui n’a pas suivi le rythme de la dispersion réelle de l’empreinte de données d’une organisation de santé moderne — répartie entre prestataires de cycle de revenus, traitants de laboratoire, fabricants de dispositifs médicaux et plateformes cloud, chacun constituant un point de défaillance potentiel hors du contrôle de sécurité direct de l’hôpital.

Questions Fréquemment Posées

Sources et lectures complémentaires

• 2026 Data Breaches — PKWARE
• Recent Data Breaches — BrightDefense