Утечка данных Bradford Health Services в 2023 году

Основной источник, страница «Уведомление об инциденте, связанном с безопасностью данных», опубликованная Bradford Health Services на собственном домене 30 мая 2025 года. Организация подтверждает обнаружение необычной активности 8 декабря, проведение расследования с привлечением внешних специалистов по кибербезопасности, возможный несанкционированный доступ к файлам и завладение ими, завершение проверки 15 мая 2025 года, а также опубликованный перечень категорий данных.

Второй источник, официальное уведомление, поданное генеральному прокурору штата Мэн, в котором указано обновлённое число пострадавших по всей стране: 22 465 человек. На официальном портале Управления по гражданским правам HHS размещена более ранняя запись от 6 февраля 2024 года о взломе сетевого сервера/IT-инциденте, затронувшем 28 543 человека. Хронология показывает первоначальную и уточнённую оценку масштаба одного и того же события, а не две отдельные утечки.

8 декабря Bradford Health обнаружила необычную активность в своей сети и начала расследование с привлечением сторонних специалистов по кибербезопасности. Расследование показало, что к некоторым сетевым файлам могли получить несанкционированный доступ и завладеть ими. Затем организация провела всестороннюю проверку, чтобы определить, какие данные содержались в этих файлах и к каким людям они относились.

Проверка файлов завершилась 15 мая 2025 года, а 30 мая письменные уведомления были отправлены Почтовой службой США. Организация заявила, что у неё нет доказательств неправомерного использования информации, которая могла быть затронута.

В зависимости от человека среди идентификационных данных могли быть имена, номера водительских удостоверений, даты рождения, номера паспортов и номера социального страхования. Также могли быть затронуты номера финансовых счетов и платёжных карт вместе со средствами доступа к счетам. В этой записи не предполагается, что у каждого получателя уведомления были затронуты все перечисленные категории данных.

SSN в сочетании с датой рождения и данными государственного удостоверения личности или паспорта может повысить риск выдачи себя за другого человека и открытия новых счетов на его имя. Если были затронуты сведения о вашем финансовом счёте или доступе к нему, вы можете проверить незнакомые операции и изменения получателей платежей, адреса или контактных данных через известный вам канал связи с банком. Само по себе указание этой общей категории данных не доказывает, что был затронут пароль.

В качестве примеров медицинской информации Bradford Health приводит сведения о диагнозах и лечении, имена врачей и номера медицинских карт. Данные медицинского страхования также могли быть затронуты. В контексте услуг в области психического здоровья эти категории особенно чувствительны, однако организация не раскрывает публично конкретные заболевания, лечение или вид страховки отдельного человека.

Неожиданное сообщение, содержащее настоящее имя врача, диагноз или сведения о лечении, может выглядеть убедительно. Если вы получили уведомление об инциденте, вы можете проверить пояснения к страховым выплатам, медицинские записи и активность в личном кабинете пациента, а также уточнить незнакомые услуги или изменения по официальному номеру медицинской организации. Не отправляйте чувствительные медицинские сведения в ответном сообщении или по ссылке из сообщения, которого вы не ожидали.

Число 28 543, сообщённое HHS 6 февраля 2024 года, относится к первоначальному уведомлению об инциденте в сфере здравоохранения, поданному примерно через два месяца после его обнаружения. Проверка файлов организацией продолжалась до 15 мая 2025 года, а в более позднем уведомлении, поданном в штате Мэн, указаны 22 465 человек по всей стране. Новое число, установленное после завершения проверки, заменяет предварительные сведения; складывать эти два числа нельзя.

Опубликованное официальным источником число пострадавших или записей отражает заявленный масштаб инцидента. Это не означает, что каждая из раскрытых категорий данных относилась к каждому человеку. Меньшее итоговое число не опровергает сам факт инцидента: при проверке могут быть исключены дубликаты, записи, не относящиеся к инциденту, или записи, по которым уведомление не требуется, и определён круг людей, которых действительно необходимо уведомить.

Bradford Health заявила, что внедрила дополнительные меры для повышения безопасности сети и снижения риска аналогичного события, сообщила об инциденте правоохранительным органам и организовала кол-центр с бесплатным номером 1-877-670-4122. На её странице указано, что представители были доступны для ответов на вопросы об инциденте по будням с 7:00 утра до 7:00 вечера по центральному времени США.

Ориентируйтесь на категории данных, указанные в вашем письме. Если затронуты SSN или данные государственного удостоверения личности, рассмотрите возможность заморозки кредитной истории, установки предупреждения о мошенничестве и отслеживания открытия новых счетов. Для финансовых данных уместна проверка операций, а для медицинских, проверка страховых выплат и медицинских записей. Если вы получили неожиданное сообщение от имени Bradford, не сообщайте пароль, полный SSN или одноразовый код и не отправляйте деньги.