Утечка данных HealthEquity 2024

В документе, поданном регулятору, 9 марта 2024 года указано как известная дата утечки. HealthEquity получила уведомление об аномалии 25 марта, компьютерно-криминалистический анализ продолжался до 10 июня, а 26 июня компания подтвердила, что инцидент затронул информацию, относящуюся к некоторым получателям уведомлений.

Согласно документу, поданному в SEC, аномальная активность исходила с устройства, которое партнер использовал в личных целях. Неуполномоченное лицо использовало учетную запись партнера для доступа к информации, а часть информации была перенесена за пределы систем партнера. В системах HealthEquity не было обнаружено ни вредоносного кода, ни перебоев в работе сервисов. Компания заявила, что деактивировала учетные записи, завершила сеансы, заблокировала IP-адреса и потребовала сбросить пароли во всей организации поставщика.

Около 4,3 миллиона потенциально затронутых лиц, это численность группы, подлежащей уведомлению, а не количество учетных записей, локальных записей, адресов электронной почты или паролей. В основном образце уведомления перечислены имена, адреса, номера телефонов, идентификаторы сотрудников, работодатели, номера социального страхования, общие контактные данные иждивенцев и некоторые сведения о платежных картах, за исключением номеров платежных карт и информации о дебетовых картах HealthEquity. Набор полей различался в зависимости от получателя; сведения о диагнозах, рецептах, видах услуг и номерах планов медицинского страхования требуют отдельного подтверждения на основании уведомлений для конкретных клиентов.

Локальный набор данных об отдельных лицах отсутствует. Сведения об этом инциденте не связывают кого-либо с учетной записью HealthEquity или WageWorks, статусом сотрудника, участника или иждивенца, конкретным работодателем, состоянием здоровья или платежной информацией. Данные о номерах социального страхования, иждивенцах, работодателях, здоровье и платежах должны оставаться конфиденциальными. Только непосредственным получателям следует опираться на перечень полей и условия обслуживания, указанные в их собственных уведомлениях.