Утечка данных CPAP Medical в 2024 году

Основной источник, уведомление об инциденте безопасности данных, выпущенное CPAP Medical Supplies and Services. В нём прямо описаны несанкционированный доступ к сети, расследование с применением методов цифровой криминалистики и анализ документов, период доступа, начало рассылки уведомлений, мониторинг кредитной истории, предложенный людям, чьи номера социального страхования присутствовали в затронутых данных, а также рекомендации по защите.

Второй источник, портал утечек данных HHS OCR, который подтверждает, что инцидент затронул 90 133 человека, и указывает его классификацию. Третий источник, публикация HIPAA Journal от 20 августа 2025 года, в которой независимо описаны даты и категории данных на основании уведомления, поданного генеральному прокурору штата Мэн. Сведения об организации, масштабе инцидента, доступе к сети и датах проверки совпадают во всех источниках.

Постороннее лицо получило несанкционированный доступ к сетевой инфраструктуре CPAP Medical 13 декабря и сохраняло его до 21 декабря включительно. По заявлению организации, узнав об инциденте, она локализовала угрозу, защитила свою внутреннюю инфраструктуру и начала тщательное расследование с привлечением внешних специалистов по кибербезопасности, чтобы определить, были ли затронуты персональные или конфиденциальные данные.

После расследования с применением методов цифровой криминалистики и сложного ручного анализа документов CPAP Medical установила 27 июня 2025 года, что затронутые системы содержали медицинскую информацию и персональные данные, позволяющие установить личность. Рассылка уведомлений началась 15 августа в тех случаях, когда контактные данные были доступны. Дата инцидента определена по самой ранней технической активности, которую можно подтвердить по публичным источникам.

Согласно публикации HIPAA Journal, основанной на уведомлении, поданном регулирующему органу, файлы могли содержать полные имена, даты рождения, номера социального страхования, финансовую и банковскую информацию, медицинскую информацию и сведения о медицинском страховании. Официальное онлайн-уведомление также подтверждает наличие персональных данных, позволяющих установить личность, и защищённой медицинской информации и сообщает, что в некоторых затронутых файлах присутствовали номера социального страхования.

Организация не заявляла, что все перечисленные поля относились к каждому из 90 133 человек. Поэтому в этой записи показатели по категориям данных не суммируются для расчёта численности подгрупп; также в неё не включены адреса электронной почты, пароли или реквизиты платёжных карт, о которых источники не сообщали. Хотя файлы могли быть просмотрены или скопированы за пределы систем, источники не подтверждают, что они были опубликованы в открытом доступе или проданы конкретной названной группе злоумышленников.

Опубликованное официальным источником число затронутых людей или записей отражает заявленный масштаб инцидента. Это не означает, что каждая раскрытая категория данных относилась к каждому человеку. То же общее число приводится в публикациях, основанных на уведомлении, поданном генеральному прокурору штата Мэн. Оно обозначает число людей, подлежащих уведомлению, а не количество файлов, рецептов, заказов оборудования, заявлений на страховое возмещение или отдельных элементов данных.

Компания CPAP Medical, расположенная в Джэксонвилле, поставляет изделия для терапии нарушений сна и оборудование CPAP, в частности семьям военнослужащих, действующим военнослужащим и военнослужащим в отставке.

CPAP Medical заявила, что локализовала угрозу, защитила свои системы, провела расследование с применением методов цифровой криминалистики и привлечением внешних специалистов, а также завершила анализ документов. Организация также сообщила, что постоянно оценивает и корректирует свои рабочие процессы и меры внутреннего контроля, чтобы повысить безопасность и конфиденциальность персональных данных.

На момент рассылки уведомлений свидетельств неправомерного использования данных в результате инцидента обнаружено не было. Тем не менее людям, чьи номера социального страхования были затронуты, предоставили бесплатный мониторинг кредитной истории, а получателям уведомлений рекомендовали проверять финансовые счета, кредитные отчёты и пояснения к выплатам по медицинскому страхованию. Отсутствие известных случаев неправомерного использования не исключает риска в будущем.

Получателям уведомлений следует подключить предложенный мониторинг в течение указанного срока регистрации и проверять кредитные отчёты, операции по банковским счетам и документы по медицинскому страхованию на наличие незнакомых счетов, транзакций или услуг. О подозрительной записи следует сообщить финансовой организации, страховой компании или поставщику медицинских услуг через ранее известный официальный канал связи.

Связь с военными сообществами в сочетании с медицинской информацией может сделать целевой фишинг более убедительным. Не следует напрямую переходить по ссылкам в неожиданных сообщениях, даже если в них указано, что отправитель, CPAP Medical, программа льгот для военнослужащих, банк или страховая компания. Для связи следует использовать официальный сайт или проверенный номер телефона.