Утечка данных Cary Pediatric Center в 2025 году

Основной источник, PDF-документ «Уведомление об инциденте безопасности данных» на собственном сайте организации. В нём описаны обнаружение инцидента 19 сентября, меры по локализации угрозы в сети, экспертный анализ цифровых следов, ограничение затронутых данных записями звонков, отсутствие воздействия на электронные медицинские карты, возможные категории данных, предоставление защитных услуг на 12 месяцев и линия помощи 855-522-4713.

Второй источник, официальная запись HHS/OCR от 17 ноября, в которой указаны 25 784 человека. Текущая главная страница организации подтверждает, что речь идёт о той же организации и том же домене, и содержит прямую ссылку на официальный PDF-документ об инциденте в разделе «Уведомление об инциденте с данными». Таким образом, по двум первичным источникам проверяются сведения об инциденте, числе затронутых людей и самой организации.

Примерно 19 сентября Cary Pediatric обнаружила инцидент, связанный с безопасностью её сети. Когда постороннее лицо попыталось получить несанкционированный доступ к сетевой среде, организация приняла меры по защите сети и привлекла специализированную компанию по расследованию цифровых инцидентов и реагированию на них, чтобы определить масштаб возможного несанкционированного доступа. В публичном документе не раскрываются первоначальный способ проникновения и личность злоумышленника.

Расследование установило, что некоторые персональные данные могли быть скомпрометированы. В нём прямо указано, что конфиденциальные данные, о которых идёт речь, ограничивались аудиозаписями звонков между пациентами и клиникой, а электронные медицинские карты не были затронуты. Поэтому в этой записи не делается вывод о раскрытии медицинских документов пациентов в целом или всей базы EMR.

В шапке PDF-документа указано «19 февраля 2025 года», тогда как в тексте инцидент описан как обнаруженный 19 сентября 2025 года. Поскольку дата в шапке предшествует событию, эти сведения не позволяют выстроить непротиворечивую хронологию.

Для определения даты инцидента и его обнаружения используется заявление организации от 19 сентября 2025 года, а запись HHS/OCR от 17 ноября 2025 года, для официального числа затронутых людей и этапа уведомления регулирующего органа. Такой подход опирается на проверяемые даты и не скрывает явного противоречия в документе. Никакая дополнительная дата или 2026 год не вводятся без подтверждающих сведений.

В официальном уведомлении среди потенциально раскрытых данных перечислены имена, даты рождения и защищённая медицинская информация. В нём указано, что набор данных различался у разных людей и что не у каждого были раскрыты все перечисленные сведения. PHI не разделяется на более узкие категории, диагнозы, лекарства, процедуры, страховые или платёжные сведения, поэтому в этой записи такие подробности не предполагаются.

Затронутым носителем информации были записи телефонных разговоров. Сведения, которые могли прозвучать во время звонка, не равнозначны всей информации, хранящейся в электронной карте пациента. Поэтому категории данных ограничены официально указанными именами, датами рождения и PHI, а электронные медицинские карты в этой записи не обозначены как затронутые.

25 784, это число затронутых людей, опубликованное на портале HHS/OCR, а не количество аудиозаписей, звонков или файлов. Опубликованное официальным источником число затронутых людей или записей отражает заявленный масштаб инцидента. Это не означает, что у каждого человека были затронуты данные всех перечисленных категорий.

17 ноября в HHS, это дата уведомления регулирующего органа, а не день инцидента. Организация отдельно не публикует ни число получателей почтовых уведомлений, ни количество записанных звонков.

Cary Pediatric сообщила, что приняла меры по защите сети, провела расследование с участием IT-специалистов, пересмотрела и усилила технические меры защиты, а также организовала для всех потенциально затронутых лиц бесплатный мониторинг кредитной истории и защиту от кражи личности на 12 месяцев. На момент уведомления организация заявила, что не получала сообщений о неправомерном использовании информации или связанной с ним краже личности.

Линия помощи 855-522-4713 работает по будням с 08:00 до 20:00 по восточному времени. Получателям следует ориентироваться на собственное уведомление, чтобы определить, какие именно сведения могли быть затронуты, и получить инструкции по подключению защитных услуг. Не следует сообщать дату рождения, медицинскую информацию, пароль, платёжные реквизиты или одноразовый код во время неожиданного звонка или в неожиданном сообщении. Вызывающие подозрения медицинские записи следует проверять непосредственно в клинике. Если появляется подозрительное сообщение или событие в аккаунте, его следует проверить через актуальный официальный канал связи организации, не используя ссылки из сообщения.