Утечка данных Chord Specialty Dental Partners в 2024 году

Официальное уведомление Chord от 14 марта 2025 года содержит дату обнаружения, период доступа, сведения о затронутой системе и категории данных. В нём также прямо указано, что CDHA Management, LLC и Spark DSO, LLC ведут деятельность под названием Chord Specialty Dental Partners.

В записи HHS OCR указаны те же юридические наименования, дата уведомления и общее число людей, которых затронул инцидент: 173 430. Событие классифицировано как «Взлом/IT-инцидент», связанный с электронной почтой. В независимом реестре инцидентов также совпадают период доступа, число людей, которых затронул инцидент, и заявленные категории информации.

Примерно 11 сентября 2024 года Chord обнаружила подозрительную активность, связанную с почтовым аккаунтом сотрудника. Организация приняла меры для защиты аккаунта и привлекла сторонних специалистов, чтобы определить характер и масштаб события, а также выяснить, была ли какая-либо другая активность.

Расследование установило, что посторонний получал доступ к нескольким аккаунтам в течение ограниченных промежутков времени с 19 августа по 25 сентября. Официальное уведомление не раскрывает способ первоначального доступа, техническую уязвимость или личность нарушителя, поэтому в этой записи событие не характеризуется как фишинг, атака с использованием программы-вымогателя или действия конкретной группировки.

В официальном уведомлении говорится, что набор сведений различался для разных людей и мог включать имя вместе с адресом, номером социального страхования, данными водительского удостоверения, банковского счёта или платёжной карты, датой рождения, медицинской информацией или сведениями о медицинском страховании.

Не следует считать, что весь этот перечень относится к каждому из 173 430 человек. Chord не подтвердила, что информация была извлечена из аккаунтов, и заявила, что ей неизвестны доказательства её неправомерного использования. Тем не менее организация не смогла исключить возможность того, что посторонний получил к ней доступ.

Имена, адреса, даты рождения и идентификаторы, выданные государственными органами, могут использоваться в совокупности для присвоения чужой личности, мошеннического открытия счетов или составления убедительных запросов на подтверждение личности. Если человек, неожиданно позвонивший или отправивший сообщение, знает реальные сведения о вас, это не доказывает подлинность обращения.

Данные банковских счетов и платёжных карт могут повышать риск несанкционированных операций. Медицинская информация и сведения о медицинском страховании могут использоваться для подачи мошеннических требований о возмещении расходов, выдачи себя за медицинскую организацию или адресного мошенничества. Поэтому финансовые и медицинские записи стоит регулярно проверять.

По словам Chord, организация приняла меры для защиты соответствующего аккаунта, провела комплексную проверку с привлечением сторонних специалистов по кибербезопасности и изучила хранившуюся в аккаунтах информацию, чтобы установить, чьи данные могли быть затронуты. Организация также пересмотрела меры безопасности и провела дополнительное обучение сотрудников.

Уведомления были отправлены людям, чьи адреса были известны, а тем, кто соответствовал условиям предоставления услуг, предложили мониторинг кредитной истории и защиту от мошеннического использования личных данных. Это различие важно: уведомление описывает возможный доступ, но не утверждает, что получение данных или их мошенническое использование были подтверждены.

Если вы получили уведомление, проверьте операции по банковским счетам и картам на наличие незнакомых транзакций, изучите кредитные отчёты и при необходимости рассмотрите заморозку кредитной истории или установку отметки о риске мошенничества. О подозрительной активности следует сообщать непосредственно в соответствующую финансовую организацию и компетентные органы.

Неожиданные записи в медицинской документации, выписках по медицинскому страхованию или требованиях об оплате следует проверять напрямую у медицинской организации или страховщика. Не сообщайте номер социального страхования, данные карты, пароль или одноразовый код подтверждения в ответ на неожиданное письмо, звонок или сообщение.