Утечка данных Beverly Hills Oncology Medical Group в 2025 году

Основной источник, PDF-файл «Уведомление об утечке данных», опубликованный на собственном домене организации для размещения материалов. В нём описаны период доступа с 7 по 11 февраля, расследование с привлечением сторонних специалистов, вывод о масштабе инцидента от 13 октября, возможные категории данных, начало рассылки письменных уведомлений примерно 31 октября, бесплатный мониторинг кредитной истории и телефонная линия помощи 855-291-2692.

Второй источник, официальная запись HHS/OCR от 31 октября, в которой указаны 57 655 человек. Страница инцидента на общедоступный источник сведений об утечке позволяет независимо сопоставить сведения, поскольку содержит ссылки на тот же PDF-файл, общее число, указанное на федеральном уровне, и уведомления, опубликованные в Калифорнии и других штатах.

Организация сообщила, что обнаружила несанкционированный доступ к своей сети в период примерно с 7 по 11 февраля. Затем она провела расследование с привлечением сторонних специалистов по кибербезопасности, которые регулярно анализируют подобные ситуации, чтобы определить, в какой мере информация в сети могла быть скомпрометирована. В публичном уведомлении не указаны злоумышленник, уязвимость или способ первоначального проникновения.

Комплексное расследование и проверка документов завершились 13 октября. По их итогам было установлено, что в связи с этим событием ограниченный объём персональных данных мог быть выведен за пределы сети. Примерно 31 октября началась рассылка письменных уведомлений потенциально затронутым лицам, для которых у организации имелся последний известный адрес проживания. Эти даты относятся к разным этапам: доступу к сети, определению масштаба инцидента и уведомлению потребителей.

Согласно официальному уведомлению, полное имя могло быть указано вместе с одним или несколькими из следующих видов данных: номером социального страхования, номером водительского удостоверения или другого государственного удостоверения личности, данными финансовых счетов, данными кредитных или дебетовых карт и сведениями о полисе медицинского страхования.

В число потенциально затронутых сведений также входят данные о лечении, диагнозах, назначенных лекарствах и другая клиническая информация. Набор данных различается в зависимости от человека; не следует предполагать, что для каждого человека присутствовали все поля или что каждый документ был выведен за пределы сети. Непроверенные сведения о числе людей и категориях данных, а также неподтверждённые заявления злоумышленников не включаются в публично описанный масштаб инцидента.

57 655, это число затронутых лиц, опубликованное для данного события на портале HHS/OCR, а не количество документов, файлов или строк в утечке. Опубликованное официальным источником число затронутых лиц или записей отражает заявленный масштаб инцидента. Это не означает, что каждая из раскрытых категорий данных относилась к каждому человеку.

Число местных жителей, указанное в документах генеральных прокуроров штатов, входит в общенациональный итог в 57 655 человек и не прибавляется к нему, поскольку это привело бы к двойному учёту одних и тех же людей. Дата отчёта HHS и уведомления, 31 октября, не совпадает с февральским периодом доступа. Такое разграничение позволяет сохранить как фактическую хронологию, так и смысл показателя, который отражает каждое число.

Имя в сочетании с SSN или номером государственного удостоверения личности может повысить риск выдачи себя за другого человека и мошеннического открытия счетов. Данные финансовых счетов и карт могут использоваться для платёжного мошенничества, а сведения о лечении, диагнозах, назначенных лекарствах и страховании, для мошенничества с использованием чужих персональных данных в медицинской сфере и персонализированного фишинга. Организация заявила, что на момент уведомления ей не было известно о сообщениях о мошенничестве с использованием чужих персональных данных или ненадлежащем использовании информации, непосредственно связанном с инцидентом.

Получателям уведомлений следует проверять не только кредитные отчёты и операции по финансовым счетам, но и документы медицинской страховой компании с разъяснениями страховых выплат. Незнакомые записи о лечении, назначенных лекарствах, заявлениях на страховую выплату или платежах следует проверять непосредственно в соответствующей организации. Если вы неожиданно получили сообщение или звонок от лица, представляющегося сотрудником организации, не сообщайте полный SSN, номер удостоверения личности или карты, пароль либо одноразовый код.

Beverly Hills Oncology Medical Group сообщила, что провела расследование с привлечением сторонних специалистов, постоянно оценивает свои меры обеспечения безопасности и конфиденциальности и предложила затронутым лицам бесплатный мониторинг кредитной истории. Письменные уведомления содержали рекомендации по проверке кредитных отчётов, установке предупреждений о мошенничестве и заморозке кредитной истории, защите финансовых счетов и предотвращению мошенничества с использованием чужих персональных данных в медицинской сфере.

Конфиденциальная бесплатная телефонная линия для ответов на вопросы 855-291-2692 работает по будням с 09:00 до 21:00 по восточному времени. Если вы получили уведомление, ориентируйтесь на своё письмо: в нём указано, какие именно ваши данные могли быть затронуты и как подключить предложенную услугу. Незамедлительно сообщайте о подозрительных финансовых операциях или действиях в медицинской сфере в соответствующую организацию и при необходимости рассмотрите бесплатную заморозку кредитной истории.