Утечка данных Ascension у партнёра в 2024 году (437 тыс. пострадавших)

В уведомлении Ascension для регулирующих органов говорится, что данные пациентов были непреднамеренно переданы бывшему деловому партнёру и, вероятно, похищены из-за уязвимости в стороннем программном обеспечении, которым пользовался этот партнёр. По итогам расследования к такому выводу пришли 21 января 2025 года.

В записи HHS OCR организация Ascension Health, число затронутых людей, 437 329, и дата сообщения об инциденте, 28 апреля 2025 года, относятся к одному событию. Независимые публикации о безопасности в здравоохранении подтверждают хронологию, перечень затронутых данных и то, что собственные системы Ascension не пострадали.

Ascension установила, что непреднамеренно передала бывшему деловому партнёру некоторые данные пациентов. Постороннее лицо воспользовалось уязвимостью в стороннем программном обеспечении партнёра и, вероятно, получило эти данные.

В публичном уведомлении не раскрывается, кто был бывшим партнёром, не называется уязвимый продукт, не указывается, когда начался несанкционированный доступ, и не устанавливается, кто стоял за инцидентом. Ascension отдельно подчёркивает, что её собственная сеть и системы в ходе этого инцидента не были взломаны.

В зависимости от конкретного человека данные могли включать имя, адрес, номер телефона, адрес электронной почты, дату рождения, расовую принадлежность, пол и номер социального страхования. Не все перечисленные категории обязательно относились к каждому из затронутых людей.

Медицинские данные могли включать места оказания медицинской помощи, имена врачей, даты госпитализации и выписки, коды диагнозов и коды для выставления счетов, номера медицинских карт и названия страховых компаний. Пароли, платёжные карты и сведения о банковских счетах в этот перечень не включены, поскольку в официальном уведомлении они не указаны.

Номер социального страхования в сочетании с контактными данными и датой рождения может повысить риск кражи личности, мошеннических заявок на открытие счетов и адресных мошеннических схем. Поскольку многие из этих сведений не меняются, может быть целесообразно дольше следить за признаками неправомерного использования данных.

Человек, которому известны реальные сведения о посещении больницы, враче, диагнозе или страховке, может составить убедительное сообщение и выдать себя за представителя Ascension, клиники или страховой компании. Точные медицинские сведения не доказывают, что отправитель имеет соответствующие полномочия.

Узнав об инциденте, Ascension начала расследование, пересмотрела процедуры обмена информацией и сообщила, что работает над внедрением дополнительных мер защиты. Людям, которых затронул инцидент, были направлены письменные уведомления.

Получателям, соответствующим условиям программы, организация предложила два года мониторинга кредитной истории, консультаций по вопросам мошенничества и услуг по устранению последствий кражи личности. В публичном уведомлении не говорится, что неправомерное использование данных, связанное с этим инцидентом, было достоверно установлено.

Если вы получили уведомление, регулярно проверяйте кредитные отчёты, запросы к кредитной истории, связанные с открытием новых счетов, пояснения к страховым выплатам по медицинскому страхованию и медицинские счета на предмет услуг или операций, которые вам неизвестны. О подозрительных записях следует незамедлительно сообщать в соответствующие организации.

Не сообщайте номер социального страхования, пароль, платёжные реквизиты или код подтверждения в ответ на неожиданное сообщение якобы от Ascension, врача или страховой компании. Проверьте запрос через официальный канал связи, найденный самостоятельно, а не по ссылке или номеру из сообщения.