Утечка данных AllerVie Health в 2025 году

Основной источник, письмо AllerVie Health потребителям от 22 декабря 2025 года. Оно подтверждает обнаружение инцидента 2 ноября, период несанкционированного доступа с 24 октября по 3 ноября, результаты проверки данных от 24 ноября, сброс паролей и уведомление правоохранительных органов, предоставление услуг Cyberscout на 24 месяца, а также номер линии помощи 833-877-1419.

Второй источник, официальная запись HHS/OCR от 23 декабря 2025 года, в которой указано 80 521 пострадавшее лицо. Документы генеральных прокуроров штатов Массачусетс и Нью-Гэмпшир независимо подтверждают сведения из уведомления потребителям и то, что инцидент затронул имена, номера социального страхования, а также номера водительских удостоверений или удостоверений личности, выданных штатом. Имя или название злоумышленника, указанное во вторичном источнике, не приводится, поскольку уведомление организации его не подтверждает.

AllerVie обнаружила необычную активность в своей сети 2 ноября и немедленно начала расследование. Проверка установила, что с 24 октября по 3 ноября происходил несанкционированный доступ к ограниченному объёму информации. Организация изучила содержимое данных, чтобы определить их типы и людей, к которым они относились, и завершила эту работу 24 ноября.

В опубликованном письме не объясняется, как произошло первоначальное проникновение, какая учётная запись или уязвимость была использована, установлено ли достоверно, что информация была похищена, и кто стоял за инцидентом. Поэтому эта запись опирается на подтверждённый несанкционированный доступ к сети и не представляет утверждения о программе-вымогателе или злоумышленнике со сторонней страницы как официальные выводы организации.

В документах, поданных в органы штатов, перечислены поля, набор которых различался в зависимости от человека: имена, номера социального страхования, номера водительских удостоверений или удостоверений личности, выданных штатом. В опубликованном образце письма поле с данными конкретного получателя скрыто.

Имя в сочетании с SSN и номером государственного удостоверения личности может повысить риск выдачи себя за другого человека, открытия новых счетов на его имя и более убедительного фишинга. Получатель уведомления может рассмотреть возможность отслеживания кредитных отчётов, установки предупреждения о мошенничестве или заморозки кредитной истории, а также проверки изменений адреса и открытия новых счетов. В этой записи не предполагается, что у каждого человека были затронуты все перечисленные поля.

Инцидент затронул сеть медицинской организации и был заявлен в HHS как связанный с защищаемой медицинской информацией. Однако в опубликованном образце письма не указаны конкретные виды медицинских данных, например диагнозы, лечение, лекарства, страховые данные или номера медицинских карт. Поэтому эти категории данных не добавляются без подтверждающих сведений.

Тот, кто знает о связи человека с клиникой AllerVie, может составить поддельное сообщение о записи на приём, результатах, счёте или лечении. Получателям уведомления следует проверять неожиданные сообщения, связанные с медицинской помощью, по известному номеру телефона клиники или через портал для пациентов. Сообщение не становится подлинным лишь потому, что в нём указано настоящее название клиники или имя человека.

Число 80 521 обозначает количество пострадавших, о котором сообщили в HHS/OCR, и используется как актуальное официальное общее число пострадавших по всей стране. Этот официальный итог отражает заявленный масштаб инцидента; он не означает, что каждая из раскрытых категорий данных была затронута у каждого человека. Чтобы подтвердить, какие именно данные конкретного человека были затронуты, следует обратиться к полученному им уведомлению.

Число жителей, указанное в сообщениях штатов Массачусетс, Нью-Гэмпшир, Род-Айленд и других штатов, входит в это общенациональное число и не прибавляется к нему повторно. Названные в письме клиники Springdale, Kenwood, West Chester, Clifton и Anderson относятся к тому же инциденту AllerVie и не выделяются в отдельные дублирующие записи об утечке.

AllerVie сообщила, что сбросила пароли, уведомила правоохранительные органы, провела тщательное расследование и пересмотрела политики и процедуры защиты данных. Организация обеспечила 24 месяца бесплатного кредитного мониторинга и защиты от кражи личности через Cyberscout; согласно образцу письма, получателям отводится 90 дней с даты письма для регистрации.

Получателю следует ориентироваться на поля, перечисленные в его собственном письме. Если были затронуты SSN или данные государственного удостоверения личности, стоит рассмотреть возможность заморозки кредитной истории, установки предупреждения о мошенничестве и отслеживания открытия новых счетов. Официальная линия 833-877-1419 работает по будням с 8:00 утра до 8:00 вечера по восточному времени. Не сообщайте пароль, полный SSN или одноразовый код и не совершайте платежи в ответ на неожиданное сообщение.