Утечка данных FYZICAL в 2024 году

В официальном уведомлении Fyzical Acquisition Holdings в рамках одного инцидента указаны дата его обнаружения (9 декабря 2024 года, возможный несанкционированный доступ к данным электронной почты, дата завершения анализа данных) 25 ноября 2025 года, а также виды сведений, которые могли быть затронуты. Запись HHS OCR подтверждает организацию, связь инцидента с системой электронной почты и текущее общее число затронутых лиц: 43 045 человек.

В независимом обзоре инцидента также описаны документы, поданные в органы власти штатов, хронология событий и перечисленные в уведомлении виды данных. Сообщение о 1 801 затронутом человеке в Техасе относится к тому же инциденту: это часть общего числа по стране, а не отдельное событие или дополнительное число, которое следует прибавить к общенациональному итогу HHS в 43 045 человек.

9 декабря организация выявила необычную активность в своей системе электронной почты и начала расследование, чтобы определить характер и масштаб события. По итогам расследования было установлено, что в ходе инцидента некоторые данные электронной почты могли быть просмотрены или скопированы без разрешения.

В публичном уведомлении не сообщается, когда начался доступ, какие учетные записи или техническая уязвимость были использованы и кто стоял за инцидентом. Поэтому 9 декабря указывается как дата обнаружения, а не как подтвержденная дата первого доступа или граница периода доступа.

В зависимости от человека потенциально затронутые сведения включали имена, даты рождения, номера социального страхования, а также номера водительских удостоверений или удостоверений личности, выданных штатом. Сведения о финансовых счетах и платежных картах также входят в перечень видов данных, приведенный в официальном уведомлении.

Инцидент также мог затронуть сведения о медицинском страховании и медицинские данные. Организация отдельно отмечает, что не каждый вид сведений относился к каждому человеку. Адреса электронной почты и пароли не включены в перечень, поскольку их нет среди публично названных видов данных.

Идентификационные номера в сочетании с финансовыми и медицинскими сведениями могут использоваться для кражи личности, мошеннического открытия счетов, платежного мошенничества или создания убедительных адресных сообщений. Поскольку номера социального страхования и государственных удостоверений личности нельзя просто заменить, может потребоваться длительное наблюдение за возможными признаками злоупотреблений.

Человек, знающий реальные подробности о лечении, страховке или финансах, может составить более убедительное обращение, выдавая себя за представителя FYZICAL, медицинской организации, банка или государственного ведомства. Наличие таких сведений не подтверждает полномочий отправителя, а неожиданные запросы следует проверять через независимый канал связи.

Fyzical Acquisition Holdings проанализировала данные электронной почты, чтобы выяснить, какие сведения и каких людей затронул инцидент, и завершила этот всесторонний анализ 25 ноября 2025 года. Людям, чьи почтовые адреса были доступны, отправили уведомления. Тем, кто соответствовал условиям, предложили услуги мониторинга кредитной истории и защиты от кражи личности.

Организация также сообщает, что пересмотрела и усовершенствовала действующие политики и процедуры. Публичные источники не характеризуют событие как атаку с использованием программы-вымогателя, не называют ответственную за него группу и не утверждают, что все потенциально затронутые сведения были однозначно скопированы.

Получателям уведомлений следует регулярно проверять кредитные отчеты, финансовые счета и пояснения к расчетам по медицинскому страхованию, обращая внимание на незнакомые счета, операции, услуги или заявки на страховое возмещение. О подозрительной активности следует при необходимости сообщать соответствующему финансовому учреждению, страховой компании и компетентным органам.

Не сообщайте номер социального страхования, данные карты, пароль или одноразовый код подтверждения в ответ на неожиданное электронное письмо, сообщение или звонок. Если отправитель запроса представляется сотрудником FYZICAL или другой организации, проверьте запрос, используя контактные данные с официального сайта, а не ссылки или номера из сообщения.