Утечка данных AdaptHealth в 2026 году

AdaptHealth подтвердила три основные категории: персональные идентифицирующие сведения, защищённую медицинскую информацию и хранившиеся файлы с паролями, связанные с выставлением счетов страховым компаниям. PII и PHI, широкие категории; компания пока не сообщила, какие именно поля присутствовали в данных, например имена, даты рождения, адреса, диагнозы, назначения лекарств или номера страховых полисов.

Компания отдельно заявила, что не собирает номера социального страхования в затронутой системе и не хранит сведения о банковских счетах или платёжных картах в соответствующих системах. Номера социального страхования (SSNs), кредитные карты, банковские счета и платёжные данные не указаны среди скомпрометированных категорий. Хотя связь файлов с паролями с выставлением счетов страховым компаниям была подтверждена, AdaptHealth не раскрыла их формат, наличие шифрования, актуальность или число аккаунтов, к которым они относились.

Согласно документу, поданному в SEC, атака началась с социальной инженерии, в результате которой был скомпрометирован пользовательский сеанс стороннего подрядчика. Это описание не подтверждает ни эксплуатацию уязвимости программного обеспечения, ни компрометацию всей сети AdaptHealth. Злоумышленник получил доступ к некоторым облачным бизнес-приложениям, однако компания не сообщила, был ли первоначальный доступ получен с помощью электронной почты, телефонного звонка, поддельной страницы входа или другого метода социальной инженерии.

Среда, к которой был получен доступ, включала внутренние системы работы с данными пациентов, платформы хранения документов и некоторые внешние порталы электронных медицинских карт. Этот перечень не доказывает, что с каждой платформы были похищены все записи. AdaptHealth сообщила, что продолжает определять объём затронутых наборов данных.

15 июня 2026 года злоумышленник уведомил AdaptHealth о том, что из её систем были похищены данные. 27 июня компания признала инцидент существенным из-за характера и потенциального объёма данных, оказавшихся под угрозой, а 2 июля подала форму 8-K. Точная дата первоначального доступа и продолжительность скомпрометированного сеанса не раскрывались.

Оценка существенности указывает на то, что возможный объём данных мог быть значительным, но в поданном документе не указано число людей, файлов или записей. Организация не опубликовала поддающееся проверке общее число пострадавших или затронутых записей. Отсутствие раскрытых данных о количестве не означает, что инцидент не имел последствий; оно означает, что общедоступные источники не позволяют установить достоверное общее число. Если позднее в уведомлениях пациентам или документах органов, регулирующих здравоохранение, появится достоверная цифра, её можно будет внести в запись. На данном этапе указание на то, что число неизвестно, наиболее точный и осторожный вариант.

После обнаружения атаки AdaptHealth отключила скомпрометированный аккаунт пользователя, сбросила затронутые учётные данные и внедрила дополнительные меры контроля доступа. Компания сообщила, что инцидент был локализован, внешние специалисты по цифровой криминалистике помогают в продолжающемся расследовании, а для снижения риска распространения похищенных данных были приняты меры. Это конкретные действия, о которых сообщила компания; неподтверждённые документами технические изменения в запись не добавляются.

На дату подачи документа инцидент не оказал существенного влияния на деятельность AdaptHealth и не привёл к перебоям в обслуживании пациентов. Тем не менее компания заявила, что пока не может определить все последствия, связанные с реагированием на инцидент, юридическими и регуляторными вопросами, уведомлениями и влиянием на пациентов, а также все репутационные и финансовые последствия. Страхование киберрисков может покрыть некоторые убытки, но оно не устраняет последствий кражи информации для конфиденциальности и безопасности аккаунтов.

Защищённая медицинская информация относится к чувствительным данным, поскольку может раскрывать сведения об обращении человека за медицинской помощью или о его здоровье. Файлы с паролями, связанные с выставлением счетов страховым компаниям, могут создавать риск доступа к аккаунтам или мошенничества, если их содержимое актуально и может быть восстановлено. Поскольку конкретные поля не были раскрыты, не следует считать, что у всех пациентов утекли одни и те же сведения. Риск нужно оценивать по конкретным данным, перечисленным в уведомлении, которое впоследствии получит каждый человек.

Пациентам, получившим уведомления, следует самостоятельно проверять подлинность неожиданных счетов, ссылок для входа на порталы, уведомлений о сбросе паролей и запросов на подтверждение медицинских сведений, отправленных от имени AdaptHealth или страховой компании. Если вы используете один и тот же или похожие пароли в нескольких аккаунтах, смените их в других аккаунтах и включите многофакторную аутентификацию там, где она доступна. Отсутствие SSNs и данных платёжных карт в затронутых системах не устраняет рисков фишинга и нарушения конфиденциальности медицинских сведений.

Организация не опубликовала поддающееся проверке общее число пострадавших или затронутых записей. Отсутствие раскрытых данных о количестве не означает, что инцидент не имел последствий; оно означает, что общедоступные источники не позволяют установить достоверное общее число. Общее число пациентов AdaptHealth, объёмы продаж оборудования и клиентские базы партнёров не определяют масштаб утечки. Указанные категории данных, это широкие категории, похищение которых подтверждено в документе, поданном в SEC, а не свидетельство того, что каждая запись содержала все поля.

Подтверждено, что с помощью социальной инженерии был скомпрометирован сеанс стороннего подрядчика, что позволило похитить PII, PHI и файлы с паролями для выставления счетов страховым компаниям из некоторых облачных приложений AdaptHealth и порталов электронных медицинских карт. Инцидент был локализован, и о существенных перебоях в обслуживании не сообщалось. При этом число пострадавших и конкретный состав полей данных по-прежнему уточняются в ходе расследования.