Утечка данных Health Payment Systems в 2025 году

В официальном уведомлении HPS о безопасности описаны хронология инцидента, затронутая среда, возможные категории данных и действия компании. В нём говорится, что неизвестный, не имевший права доступа, мог просмотреть или получить некоторые сведения о пациентах.

В записи HHS OCR та же организация указана как деловой партнёр, приведено общее число затронутых людей: 9 380, а событие отнесено к категории «Взлом/IT-инцидент», связанной с электронной почтой. Это общее число затронутых людей; оно не позволяет установить, какие именно данные имелись о каждом из них.

Примерно 27 июня 2025 года HPS узнала о подозрительной активности, связанной с некоторыми почтовыми аккаунтами сотрудников, и приняла меры для их защиты. Затем компания привлекла сторонних специалистов по кибербезопасности, чтобы расследовать характер и масштаб события.

Расследование установило, что неизвестный получил доступ к отдельным электронным письмам в период примерно с 24 по 27 июня. Поэтому дата в каталоге обозначает приблизительное начало периода доступа. Точное время, способ доступа и личность неизвестного в уведомлении не раскрываются.

В официальном уведомлении перечислены имена, адреса, даты рождения, идентификаторы, идентификаторы подписок и персональные идентификаторы страхователей. У некоторых людей также могли быть затронуты номера социального страхования, медицинские сведения и сведения о медицинском страховании.

Набор данных различался в зависимости от человека. Хотя инцидент затронул почтовые аккаунты сотрудников, в уведомлении адреса электронной почты и пароли от аккаунтов пострадавших не указаны отдельно среди раскрытых данных, поэтому эти категории не добавлены в описание.

Имя, адрес, дата рождения и номер социального страхования в совокупности могут помочь злоумышленникам выдавать себя за другого человека, открывать счета обманным путём или совершать мошенничество с налогами и кредитами. Личные идентификаторы и номера страхователей также могут использоваться для придания достоверности адресным сообщениям.

Медицинские сведения и данные о медицинском страховании могут использоваться для подачи ложных требований об оплате услуг, страхового мошенничества или рассылки сообщений от имени медицинской организации. Даже точные сведения о страхователе или его здоровье не доказывают, что звонящему или отправителю можно доверять.

Компания сообщает, что защитила соответствующие аккаунты, внедрила усовершенствованный инструмент защиты от угроз и мониторинга, пересмотрела действующие политики безопасности и ввела дополнительные меры. Она также сообщила о событии правоохранительным органам и регуляторам, которых требовалось уведомить.

HPS заявила, что направит почтовые уведомления людям, чьи адреса ей удастся установить, и предложит бесплатный мониторинг кредитной истории и защиту от мошеннического использования персональных данных. Условия предоставления этих услуг и сроки регистрации следует проверять в уведомлении, полученном напрямую от компании.

Получателям уведомлений следует проверять операции по финансовым счетам, кредитные отчёты и выписки медицинской страховой компании с разъяснением страхового покрытия и начислений за медицинские услуги, обращая внимание на незнакомые счета, операции или услуги. О подозрительных записях следует сообщать соответствующему банку, организации медицинского страхования или поставщику медицинских услуг через каналы связи, проверенные самостоятельно.

Не сообщайте номер социального страхования, страховые данные, пароль или код подтверждения в ответ на неожиданный звонок или сообщение. Если вам сообщили, что ваш номер социального страхования был затронут, вы также можете рассмотреть бесплатную заморозку кредитной истории или установку предупреждения о мошенничестве.