Утечка данных в Excelsior Orthopaedics в 2024 году

Основной источник, исправленное уведомление на официальном портале генерального прокурора штата Мэн. В письме, ссылка на которое приведена в уведомлении, описаны обнаружение инцидента 23 июня, первоначальные результаты компьютерно-технического расследования, круг затронутых пациентов и сотрудников, этапы рассылки уведомлений и меры, принятые организацией. В более позднем исправленном уведомлении ранее заявленное общее число пострадавших увеличено до 394 752 человек.

Второй источник, официальный портал утечек данных Управления по гражданским правам HHS. В записи об Excelsior Orthopaedics указаны 292 913 человек, пострадавших от взлома сетевого сервера или ИТ-инцидента 21 августа 2024 года. Общедоступный источник сведений об утечке независимо сопоставляет исправленное уведомление в штате Мэн и уведомления, направленные в штаты в сентябре 2025 года, приводя актуальное общее число пострадавших и категории раскрытых данных.

23 июня Excelsior обнаружила необычную активность в своей сети. Медицинская организация отключила внешний доступ к сети, изолировала подозрительное оборудование, изменила учётные данные пользователей и администраторов и привлекла специализированную компанию по кибербезопасности для компьютерно-технического расследования. Первоначальные результаты показали, что данные нынешних и бывших пациентов и сотрудников были скомпрометированы.

Затем Excelsior совместно с внешними специалистами по анализу данных устанавливала, каким людям принадлежали сведения в скомпрометированных файлах. Первая небольшая группа получила уведомления в августе 2024 года. После завершения основной части анализа данных в декабре вторая партия писем была отправлена 31 декабря. В общедоступных документах не указаны способ первоначального проникновения, использованная уязвимость или лицо либо группа, стоявшие за атакой.

Основные категории данных, набор которых различался у разных людей, включали полные имена, адреса, даты рождения, номера социального страхования, номера водительских удостоверений или иных удостоверений личности. В образце уведомления для сотрудников также были указаны биометрические данные. Из записи не следует, что у каждого получателя были затронуты все перечисленные категории: конкретный набор данных указан в индивидуальном уведомлении.

SSN в сочетании с датой рождения и номером государственного удостоверения личности может повысить риск мошенничества с открытием новых счетов, выдачи себя за другого человека или убедительного фишинга. В официальном образце уведомления «биометрические данные» указаны как широкая категория.

Потенциально затронутые сведения о пациентах включали номера медицинских карт, диагнозы и их коды, места оказания медицинской помощи, виды процедур, названия медицинских организаций или имена специалистов, стоимость лечения и даты оказания услуг. Также были перечислены сведения о медицинском страховании, номера страхователей или участников страховых программ и номера счетов пациентов. Эти данные могут сделать более убедительными мошеннические схемы, связанные с медицинской помощью, выставлением счетов и страховыми выплатами.

Получателям уведомлений стоит проверять пояснения к страховым выплатам, активность в личном кабинете пациента, незнакомые услуги, неожиданные попытки взыскания задолженности и сообщения от медицинских организаций. Сообщение не становится достоверным лишь потому, что в нём указаны настоящий диагноз, дата оказания услуги, название медицинской организации или имя медицинского специалиста. Проверяйте его отдельно: позвоните по известному вам номеру медицинской организации или воспользуйтесь привычным порталом для пациентов.

394 752, последнее общее число пострадавших по всей стране, указанное в исправленной записи ведомства генерального прокурора штата Мэн. Ранее опубликованное число 357 000 и показатель HHS в 292 913 отражают результаты проверок и круг получателей уведомлений на разных этапах; складывать эти числа нельзя.

В официальном письме для штата Мэн в январе 2025 года сообщалось, что работа по установлению пострадавших продолжается, а в более позднем исправленном уведомлении их число увеличилось. Число пострадавших жителей отдельных штатов не прибавляется к общенациональному показателю, чтобы избежать двойного подсчёта.

Excelsior локализовала инцидент в сети, изменила учётные данные и сообщила о внедрении новых средств защиты, переработке ключевых систем и бизнес-процессов, а также об усилении мер по повышению осведомлённости о безопасности и совершенствовании оповещений. Организация сообщила об инциденте в FBI. В образце уведомления для штата Мэн пострадавшим предлагались 12 месяцев бесплатного мониторинга кредитной истории и помощи в устранении последствий кражи личности через CyberScout.

Проверьте крайний срок регистрации в своём письме. Если были затронуты SSN или номер удостоверения личности, рассмотрите возможность заморозки кредитной истории, установки предупреждения о мошенничестве и мониторинга открытия новых счетов. Если затронуты медицинские данные, проверяйте документы о страховых выплатах и личные кабинеты пациентов. Не передавайте пароль, полный SSN или одноразовый код и не совершайте платёж по неожиданному сообщению, в котором используется имя Excelsior. Если вы получили подозрительное сообщение или заметили подозрительное событие в аккаунте, проверьте его через актуальный официальный канал связи организации, не переходя по ссылкам из сообщения.