Утечка данных Harbin Clinic / NRS в 2024 году

Официальное уведомление для потребителей, выпущенное в связи с инцидентом Harbin Clinic, описывает роль NRS, период несанкционированного доступа, копирование файлов, возможные категории затронутых данных и принятые меры. В нём говорится, что Harbin привлекала NRS для работы со счетами с просроченной задолженностью, а также по вопросам банкротства, судебных исков и наследственного имущества пациентов.

Управление по гражданским правам Министерства здравоохранения и социальных служб США включило Harbin Clinic в перечень инцидентов категории «Взлом/IT-инцидент», указав сетевой сервер и 176 149 человек. В документе, поданном регулятору штата Мэн, сообщается, что уведомления получили 210 140 человек по всей стране, поэтому эти два показателя не рассматриваются как повторные подсчёты одной и той же группы.

В июле 2024 года после сбоя в работе сети NRS обнаружила подозрительную активность в своих информационных системах. Компьютерно-техническое расследование установило, что несанкционированный доступ начался 5 июля и продолжался по 11 июля включительно; за это время были скопированы отдельные файлы и папки.

NRS продолжила проверку файлов и в феврале 2025 года сообщила Harbin Clinic, что в затронутых системах могли находиться сведения о пациентах. В марте 2025 года Harbin получила список затронутых людей, а 16 мая 2025 года начала рассылать уведомления по почте.

Набор сведений различался для каждого человека и мог включать имена, адреса, номера социального страхования, даты рождения, сведения о финансовых счетах и медицинскую информацию. Материалы NRS могли касаться пациентов, чья задолженность была передана на взыскание, поручителей по счетам и людей, участвовавших в отдельных юридических делах.

Не следует считать, что полный перечень категорий данных относится ко всем 210 140 людям. Адреса электронной почты, пароли и номера платёжных карт не включены в перечень, поскольку изученные источники не подтверждают, что эти данные были затронуты.

В документе для потребителей, поданном в штате Мэн, указано, что инцидент затронул 210 140 человек по всей стране. Это наибольшее подтверждённое число людей, связанное с уведомлениями о персональных данных, разосланными в разных штатах.

Показатель HHS OCR, 176 149 человек, охватывает людей, сведения о которых были поданы в соответствии с федеральными нормами о конфиденциальности медицинских данных. Поскольку две официальные записи относятся к разным сферам регулирования, разницу между ними не следует трактовать как количество файлов или отдельных полей данных.

NRS сообщила, что защитила свои системы, уведомила правоохранительные органы, внедрила дополнительные меры кибербезопасности и пересмотрела действующие политики. Harbin Clinic заблокировала доступ NRS к своим системам до устранения угрозы и проверила собственную сеть на наличие индикаторов компрометации.

В уведомлении говорилось, что на момент его выпуска не было обнаружено свидетельств кражи личности (выдачи себя за другого человека) или мошенничества, связанных с инцидентом. Получателям, отвечавшим установленным критериям, предложили мониторинг использования личных данных в течение 24 месяцев. Ни это заявление, ни предложение мониторинга не гарантируют, что в дальнейшем данные не будут использованы неправомерно.

Если вы получили уведомление, регулярно проверяйте банковские и кредитные счета на наличие незнакомых операций или новых счетов, просматривайте кредитные отчёты и при необходимости рассмотрите возможность бесплатно установить запрет на доступ к кредитной истории или отметку о риске мошенничества. Неожиданные изменения в медицинских записях или счетах за медицинские услуги следует проверять напрямую у поставщика медицинских услуг.

Не сообщайте номер социального страхования, реквизиты счёта, пароль или код подтверждения в ответ на неожиданный звонок или сообщение от лица, представляющегося сотрудником Harbin Clinic или NRS. Прежде чем переходить по ссылке или отправлять документы, самостоятельно сверьте контактные данные с официальным уведомлением.