Утечка данных Concord Orthopaedics в 2024 году

Официальное уведомление организации связывает в рамках одного инцидента Concord Orthopaedics, стороннее программное обеспечение для регистрации пациентов, дату уведомления 21 ноября 2024 года и типы данных, которые могли быть затронуты. Запись HHS OCR также подтверждает название организации, общее число затронутых людей, 72 815, и дату подачи отчёта: 25 марта 2025 года.

Независимые обзоры инцидента связывают сведения из официального уведомления и указанное регулятором число 72 815 с одной и той же утечкой. В общедоступных источниках не указаны точные даты начала и окончания несанкционированного доступа, поэтому здесь 21 ноября рассматривается как дата уведомления организации, а не как установленная точная дата атаки.

21 ноября Concord Orthopaedics узнала, что посторонний человек мог получить доступ к стороннему программному обеспечению, используемому для регистрации пациентов и потенциальных пациентов, а также оформления их на приём. Организация отключила доступ, сбросила пароли к этому программному обеспечению и привлекла внешних специалистов по кибербезопасности для выяснения обстоятельств инцидента.

Расследование установило, что постороннее лицо получило доступ к программному обеспечению и могло просмотреть или получить хранившиеся там сведения о регистрации и оформлении на приём. Доказательств компрометации внутренней инфраструктуры Concord Orthopaedics или её системы электронных медицинских карт, работавшей в отдельном приложении, обнаружено не было.

Состав потенциально затронутых сведений зависел от конкретного человека: они могли включать имя, дату рождения, номер социального страхования, номер водительского удостоверения или удостоверения личности, выданного штатом, а для некоторых людей, изображения документов, удостоверяющих личность. В уведомлении также были перечислены данные о приёмах: тип приёма, имя врача, дата и место приёма.

Сведения о медицинском страховании могли включать номер застрахованного лица в страховом плане, номер страхового плана и информацию о праве на страховое покрытие. Адреса электронной почты, пароли, платёжные карты и банковские счета не включены в эту запись, поскольку официальное уведомление об инциденте не подтверждает, что такие данные были затронуты.

Идентификационные номера в сочетании со сведениями о медицинских приёмах и страховании могут повысить риск кражи личности, мошеннических требований о страховых выплатах и целенаправленного обмана. Номера социального страхования и водительских удостоверений трудно изменить, поэтому их неправомерное использование может обнаружиться спустя долгое время после самого инцидента.

Зная реальный тип приёма, имя врача или сведения о страховке, злоумышленник может составить убедительное сообщение. Наличие этих сведений не доказывает, что звонящий представляет Concord Orthopaedics, врача или страховую компанию. Неожиданные запросы следует проверять через независимый канал связи.

Concord Orthopaedics отключила доступ к стороннему программному обеспечению, сбросила пароли, провела расследование с участием внешних специалистов по кибербезопасности и уведомила федеральные правоохранительные органы. Организация также сообщила, что пересматривает порядок работы и правила, касающиеся сторонних поставщиков.

Люди, которых затронул инцидент, получили уведомления, а тем, кто соответствовал условиям предоставления помощи, предложили услуги по защите от кражи личности. Официальное уведомление подтверждает только событие, связанное со сторонним программным обеспечением для регистрации. В нём не раскрываются способ первоначального доступа, техническая уязвимость или точный период доступа.

Если вы получили уведомление, регулярно проверяйте кредитные отчёты, финансовые счета и разъяснения страховой компании по медицинским выплатам на наличие незнакомых счетов, операций, приёмов или требований о выплатах. О подозрительных записях следует сообщать соответствующей финансовой организации, медицинской страховой компании и, при необходимости, компетентным органам.

Не передавайте номера социального страхования, сведения о страховке, пароли и одноразовые коды подтверждения в ответ на неожиданные электронные письма, сообщения или звонки. Если запрос якобы поступил от Concord Orthopaedics, проверьте его подлинность, используя контактные данные с официального сайта, а не ссылку или номер телефона из сообщения.