Нарушение безопасности данных в Denton County MHMR Center в 2024 году

Основное подтверждение, уведомление о безопасности данных на собственном домене Центра, обновлённое 30 декабря 2025 года, и первоначальное уведомление в формате PDF, ссылка на которое приведена в нём. В уведомлении говорится, что постороннее лицо получило доступ к информации в сети с 24 по 25 декабря 2024 года. Этот вывод подтверждает, что несанкционированный доступ затронул защищённые данные, а не просто указывает на сбой или необъяснимую активность.

В записи HHS OCR организация Denton MHMR Center отнесена к категории «поставщик медицинских услуг», событие, к категории «взлом/ИТ-инцидент», а место размещения информации указано как «сетевой сервер»; сообщается о 108 967 затронутых лицах. HIPAA Journal независимо сопоставил официальное уведомление, запись в федеральном реестре и обновлённый перечень полей данных. Все три источника согласуются в отношении организации, периода доступа и охвата инцидента.

Центр выявил необычную активность в сети примерно 24 декабря 2024 года, принял меры по защите инфраструктуры и начал расследование с привлечением сторонних специалистов. Проверка установила, что постороннее лицо имело доступ в течение ограниченного периода, с 24 по 25 декабря. Дата инцидента определена по самой ранней технической активности, которую можно подтвердить по открытым источникам.

Когда 21 февраля 2025 года организация опубликовала первоначальное замещающее уведомление, анализ файлов и определение круга затронутых лиц ещё продолжались. Подробный перечень потенциально затронутых элементов данных был установлен 10 октября. Организация сообщила об инциденте в HHS OCR 5 ноября, а позднее уведомила генеральных прокуроров штатов. Уведомление на сайте было обновлено 30 декабря: в него добавили информацию об услугах мониторинга кредитной истории и защиты от кражи личности.

Актуальный официальный перечень включает имена, адреса, идентификационные номера пациентов, даты рождения, диагнозы, истории болезни, номера медицинских карт, сведения о лечении, лабораторную информацию, имена лечащих врачей, сведения о лекарствах, прививках и медицинском страховании, а также биометрические идентификаторы. Неподтверждённые сведения о числе затронутых лиц и полях данных, а также заявления злоумышленников не включаются в описание охвата инцидента на основании общедоступных сведений.

В февральском PDF, опубликованном до завершения проверки, среди возможных полей также были указаны номера социального страхования и банковских счетов. Обновлённая в декабре страница содержит подробные результаты завершённого анализа и не упоминает повторно эти два элемента.

Число затронутых лиц или записей, опубликованное официальным источником, отражает заявленный охват инцидента. Это не означает, что каждая из перечисленных категорий данных относилась к каждому человеку. HIPAA Journal указывает, что речь идёт о нынешних и бывших пациентах. Число отражает количество людей, подлежащих уведомлению, а не скопированных файлов, строк или полей; у одного человека могли быть затронуты несколько видов информации.

Официальный текст подтверждает доступ к определённой информации, но не утверждает, что файлы были выгружены, опубликованы или проданы. Неподтверждённые сведения о числе затронутых лиц и полях данных, а также заявления злоумышленников не включаются в описание охвата инцидента на основании общедоступных сведений. Текст также не утверждает, что каждая из перечисленных категорий данных была затронута у всех 108 967 человек.

Обнаружив необычную активность, Центр принял меры по защите своей сети и привлёк специалистов к расследованию. Позднее совместно со сторонними экспертами по кибербезопасности он внедрил дополнительные меры защиты сети, а также пересмотрел и усовершенствовал свои политики и процедуры защиты данных. В первоначальном уведомлении также говорится, что об инциденте сообщили правоохранительным органам.

В обновлённом уведомлении указано, что людям, чьи данные могли быть затронуты, предложили бесплатные услуги мониторинга кредитной истории и защиты от кражи личности. На момент уведомления Центр сообщил, что не располагает доказательствами неправомерного использования информации в связи с инцидентом. Отсутствие выявленных случаев неправомерного использования не устраняет долгосрочный риск, связанный с конфиденциальными медицинскими и биометрическими данными.

Если вы получили уведомление, вы можете обратиться на специальную линию помощи Центра, чтобы уточнить право на получение предложенных услуг мониторинга кредитной истории и защиты от кражи личности, а также сроки регистрации. Следует регулярно проверять кредитные отчёты, финансовые выписки и разъяснения о выплатах по медицинской страховке на предмет незнакомых счетов, операций, врачей, лабораторных услуг или заявлений на страховое возмещение.

Если вы обнаружите незнакомую запись об оказании медицинской помощи, назначении лекарства, вакцинации или страховании, свяжитесь с медицинской организацией и страховщиком по известным вам официальным каналам. Биометрические данные нельзя изменить, как пароль, поэтому к неожиданным запросам на подтверждение личности следует относиться с особой осторожностью.