Утечка данных Easypak 2026

Основной источник, официальное письмо «Важная информация» от G-Pak Holdings LLC, работающей под коммерческим наименованием Easypak, в архиве уведомлений потребителей штата Массачусетс. В нём прямо описаны обнаружение инцидента 13 января, меры по защите систем, расследование с участием внешних специалистов, результаты проверки данных от 8 июня, бесплатный мониторинг кредитной истории и специальная линия помощи по номеру 978-537-5683, добавочный 1003.

Claim Depot связывает официальный документ с профилем компании Easypak и сообщает как минимум о 217 пострадавших жителях Массачусетса, а также о заявленных категориях идентификационных, финансовых и медицинских данных. Там также сообщается, что 29 января группировка Akira, использующая программы-вымогатели, заявила о похищении 67 GB данных. Публичное письмо Easypak не подтверждает ни название группировки, ни использование программы-вымогателя, ни объём в 67 GB, поэтому LeakData ясно обозначает эти сведения как заявления злоумышленников.

Easypak узнала о несанкционированном доступе к своей компьютерной сети примерно 13 января. Организация приняла меры для защиты систем и привлекла опытных внешних специалистов по кибербезопасности, чтобы установить полный масштаб инцидента и объём затронутых данных. 8 июня расследование показало, что 13 января к некоторым файлам с персональными данными могли получить несанкционированный доступ.

В официальном письме не раскрываются способ первоначального доступа, точная продолжительность инцидента, наличие подтверждённой эксфильтрации данных, личность злоумышленников или факт шифрования систем. Утверждения об Akira и 67 GB во вторичном источнике приписываются злоумышленникам, а не Easypak. Поэтому подтверждённые сведения в записи ограничиваются несанкционированным доступом к сети и возможным доступом к файлам; причастность группировки, использующей программы-вымогатели, не представляется установленным фактом.

В официальном образце письма говорится, что затронутые файлы содержали полное имя получателя и ещё одно поле с персональными данными (PII), которое заполнялось отдельно для каждого человека. В обзоре регуляторных сведений со ссылкой на источник перечислены возможные категории: номера социального страхования, сведения из водительских удостоверений, информация о финансовых счетах и медицинские документы. Не следует считать, что все эти категории одновременно присутствовали у каждого получателя; достоверный перечень сведений для конкретного человека содержится в его индивидуальном письме.

Общедоступные материалы не подтверждают по отдельности наличие адресов электронной почты, паролей, хешей паролей, имён пользователей, названий банков, банковских маршрутных номеров, остатков на счетах, платёжных карт, CVV, PIN, диагнозов, сведений о лечении, рецептов, номеров страховых полисов или медицинских карт. «Финансовый счёт» и «медицинские документы», широкие категории. Добавление конкретных полей, отсутствующих в источниках, искусственно завысило бы заявленный риск.

Имя в сочетании с SSN или сведениями из водительского удостоверения может способствовать мошенническому открытию новых счетов, налоговому мошенничеству с использованием чужих персональных данных или адресным запросам под видом проверки личности. Если в уведомлении указана информация о финансовом счёте, получателю следует следить за незнакомыми операциями, новыми получателями платежей и изменениями контактных данных. Наличие категории в общем перечне данных по инциденту не доказывает, что она была затронута у каждого человека или что данные использовались неправомерно.

Медицинские документы могут сделать более убедительными звонки мошенников, выдающих себя за представителей медицинских организаций, или поддельные сообщения об оплате услуг. Получателю следует напрямую уточнять в соответствующем учреждении сведения о незнакомых услугах, медицинских организациях или изменениях в пояснении к страховым выплатам либо на портале пациента. При неожиданных обращениях от лиц, представляющихся сотрудниками Easypak, службы мониторинга или медицинской организации, не следует сообщать полный SSN, реквизиты счёта или одноразовый код.

Easypak сообщила, что защитила свои системы, провела тщательную проверку с участием внешних специалистов по кибербезопасности и продолжила оценивать и совершенствовать меры безопасности и защиты персональных данных. На дату письма у компании не было свидетельств использования персональных данных для финансового мошенничества или кражи личности. Этот вывод относится к определённому моменту времени и не гарантирует, что данные не будут использованы неправомерно позднее.

Организация предложила бесплатный мониторинг кредитной истории и предоставила инструкции по внесению отметки о риске мошенничества в кредитный отчёт, ограничению доступа к кредитному отчёту (кредитной заморозке) и получению бесплатных кредитных отчётов. Специальная линия помощи доступна в течение 90 дней с даты каждого письма, по будням с 8 утра до 8 вечера по восточному времени. Общие рекомендации по защите SSN и предотвращению мошенничества с медицинскими идентификационными данными в приложении носят предупредительный характер и не доказывают, что у каждого получателя были затронуты все категории данных.

Регуляторные источники подтверждают, что пострадали как минимум 217 жителей Массачусетса, но не раскрывают общее число пострадавших по стране. Таким образом, это подтверждённая нижняя граница; численность сотрудников, клиентов или поставщиков Easypak нельзя использовать вместо числа пострадавших.

Получателю прежде всего следует определить, какие именно сведения указаны в его индивидуальном письме. Если перечислены SSN или сведения из водительского удостоверения, стоит рассмотреть ограничение доступа к кредитному отчёту (кредитную заморозку) и внесение в него отметки о риске мошенничества; если указана информация о финансовом счёте, следует следить за операциями в соответствующем учреждении и обсудить, целесообразно ли сменить счёт. При необходимости проверяйте сведения о незнакомых медицинских услугах. Людям, не получившим уведомления, не следует считать себя пострадавшими только на основании публичной записи, а заявление Akira нельзя трактовать как подтверждение её причастности со стороны Easypak.