Утечка данных Compassion Health Care в 2025 году

Официальное уведомление CHC связывает обнаружение подозрительной активности 17 марта, установление состава затронутых данных 21 марта и перечисленные в уведомлении категории данных с одним событием. Запись HHS OCR подтверждает название медицинской организации (Compassion Health Care, её расположение в Северной Каролине, дату подачи сообщения) 16 мая 2025 года, и общее число затронутых лиц: 23 282.

Независимый обзор события подтверждает тот же сетевой инцидент, последовательность дат и категории данных. Поскольку дата начала несанкционированного доступа не была обнародована, 17 марта указано как подтверждённая дата обнаружения инцидента и перебоев в работе сети, а не как предполагаемая дата первого доступа.

17 марта CHC обнаружила подозрительную активность в своей сети и вызванные ею перебои в работе. Организация начала расследование совместно с внешней компанией, специализирующейся на кибербезопасности, чтобы определить характер и масштаб возможного несанкционированного доступа к своим системам.

21 марта CHC узнала, что неуполномоченное лицо могло просмотреть или скачать данные, хранившиеся в некоторых системах. В публичном уведомлении не раскрываются способ первоначального доступа, техническая уязвимость, первый день доступа или его продолжительность. В этой записи предположения об этих деталях не приводятся.

Записи о пациентах могли содержать имена, адреса, номера телефонов, даты рождения или возраст, номера социального страхования, номера водительских удостоверений, сведения о медицинском страховании и заявлениях на страховые выплаты, а также клиническую или диагностическую информацию, связанную с полученными медицинскими услугами.

Записи о сотрудниках или поставщиках могли содержать имена, адреса, даты рождения, номера социального страхования, сведения о доходах, информацию о финансовых счетах и, возможно, номера банковских счетов и банковские маршрутизационные номера. В уведомлении не говорится, что каждая категория данных относилась к каждому человеку. Адреса электронной почты, пароли и данные платёжных карт не включены в перечень, поскольку их наличие среди затронутых данных не было подтверждено.

Данные социального страхования, водительских удостоверений и банковские сведения могут использоваться для присвоения чужой личности, мошеннического открытия счетов, несанкционированных переводов или налогового мошенничества. Некоторые из этих идентификаторов сложно изменить, поэтому имеет смысл в течение длительного времени следить за кредитной историей и состоянием счетов.

Сведения о медицинском страховании, заявлениях на страховые выплаты и клинические данные могут помочь злоумышленнику составить убедительные сообщения с упоминанием действительно оказанной услуги. Знание достоверной информации о здоровье не доказывает, что отправитель представляет CHC, врача, банк или страховую компанию.

CHC расследовала событие с привлечением внешних специалистов по кибербезопасности и 16 мая 2025 года направила письменные уведомления потенциально затронутым пациентам, сотрудникам и поставщикам. Организация также открыла специальную телефонную линию для вопросов об этом событии.

Потенциально затронутым лицам предложили бесплатный мониторинг кредитной истории и помощь в устранении последствий присвоения чужой личности. В официальном уведомлении нет окончательного вывода о том, имело ли место неправомерное использование данных. Защитные меры направлены на снижение возможного риска.

Если вы получили уведомление, регулярно проверяйте кредитные отчёты, банковские и другие финансовые счета, пояснения к расчётам по медицинской страховке и налоговые документы. Обращайте внимание на незнакомые вам счета, операции, услуги или заявления на выплаты. О подозрительных записях следует незамедлительно сообщать в соответствующую организацию.

Не сообщайте номер социального страхования, банковские сведения, данные о здоровье, пароль или одноразовый код подтверждения в ответ на неожиданное электронное письмо, сообщение или звонок. Если запрос якобы поступил от CHC, проверьте его подлинность, используя контактные данные с официального сайта организации, а не ссылки или номера из сообщения.