Утечка данных Erie Family Health Centers в 2025 году

27 января 2026 года Erie обнаружила признаки возможного несанкционированного доступа к отдельным системам сети и начала расследование с привлечением внешних специалистов. Компьютерно-техническая экспертиза подтвердила, что несанкционированный доступ к сети сохранялся с 10 декабря по 27 января. Организация сообщила об инциденте правоохранительным органам, приняла меры по защите систем и проверила данные, которые могли быть затронуты.

HHS OCR классифицирует событие как хакерскую атаку / инцидент в сфере информационных технологий, указывает сетевой сервер как место хранения информации, а организацию относит к поставщикам медицинских услуг. HIPAA Journal сопоставил официальное уведомление с записью в федеральном реестре и подтвердил период доступа, заявленный масштаб в 570 000 человек и категории содержимого файлов.

Дата инцидента определяется по самой ранней технической активности, которую можно подтвердить по открытым источникам. Стороннее лицо могло сохранять несанкционированный доступ к сети около семи недель; Erie обнаружила и прекратила этот доступ 27 января. Дата обнаружения отличается от даты начала инцидента, а год в заголовке соответствует первоначальному доступу в 2025 году.

После проверки содержимого файлов организация начала отправлять пострадавшим уведомления по почте. В записи HHS указана дата подачи сведений: 27 марта 2026 года; в мае HIPAA Journal опубликовал общее число пострадавших из федерального реестра и раскрытые категории данных. Erie сообщила, что усилила защиту сети, чтобы снизить риск подобных событий, и сотрудничала с правоохранительными органами в ходе расследования.

В число идентификационных данных, которые могли быть затронуты, входили имена, почтовые адреса, номера телефонов, адреса электронной почты и даты рождения. Среди более чувствительных идентификаторов были номера социального страхования, водительских удостоверений или удостоверений личности, выданных штатом, идентификационные номера налогоплательщиков и номера паспортов. В опубликованных сведениях не утверждалось, что каждая категория присутствовала в данных каждого человека, поэтому этот список не позволяет достоверно определить объём затронутых данных конкретного человека.

По отдельности или в сочетании эти сведения могут использоваться для мошеннического открытия счетов, налогового мошенничества и целевого фишинга. Сочетание контактных данных с медицинской информацией может сделать поддельное сообщение от имени медицинской организации более убедительным. В источниках не названа группировка злоумышленников, которая заявила бы об ответственности за инцидент.

Инцидент мог затронуть сведения о финансовых счетах и платёжных картах. Учётные данные онлайн-аккаунтов, цифровые подписи и биометрические данные также входили в число категорий, которые могли присутствовать в затронутых файлах.

Пароли можно изменить, тогда как цифровые подписи и биометрические характеристики могут создавать более долгосрочные риски. Людям, в чьих уведомлениях упомянуты сведения о платёжных картах или финансовых счетах, следует незамедлительно сообщать о незнакомых операциях. Если затронуты учётные данные онлайн-аккаунтов, следует установить уникальные пароли и включить многофакторную аутентификацию. Эти меры предосторожности не означают, что у каждого пострадавшего были затронуты все перечисленные данные.

К медицинским данным относились сведения о лечении или диагнозах, назначенных лекарствах, датах оказания услуг, идентификаторы пациентов и обращений за медицинской помощью, имена или названия поставщиков медицинских услуг, номера лицевых счетов пациентов и медицинских карт. Среди раскрытых категорий также были номера Medicare или Medicaid, сведения о медицинском страховании и стоимости лечения. Такие данные могут создавать риски использования чужой личности для получения медицинской помощи, подачи ложных страховых требований и нарушения конфиденциальности.

Опубликованное официальным источником число затронутых людей или записей отражает заявленный масштаб инцидента. Оно не означает, что каждая раскрытая категория данных относилась к каждому человеку. Это число не распределено по категориям данных и не относится отдельно к каждому полю.

Erie предложила пострадавшим бесплатный мониторинг кредитной истории и услуги по защите от кражи личных данных, а также открыла специальный кол-центр для вопросов. Получателям уведомлений следует выполнить изложенные в письме инструкции по подключению услуг, проверить кредитные отчёты и операции по финансовым счетам и платёжным картам. Если затронут номер социального страхования, стоит рассмотреть возможность установки предупреждения о мошенничестве или заморозки кредитной истории.

Также следует проверять пояснения к выплатам по медицинской страховке, историю назначений лекарств и лицевые счета пациентов на наличие незнакомых услуг, поставщиков медицинских услуг, расходов или страховых требований. Неожиданные запросы на оплату, предоставление пароля или подтверждение личности, поступающие от имени Erie, следует проверять через известный официальный канал связи.