Нарушение безопасности данных MCBS в 2025 году

В собственном публичном уведомлении MCBS подтвердила, что в её сети произошёл несанкционированный доступ. Компьютерно-техническое расследование, проведённое совместно со специалистами по кибербезопасности, установило, что с 22 по 26 сентября в системах присутствовал пользователь, не имевший разрешения на доступ. Это подтверждённое нарушение безопасности сети было зарегистрировано на федеральном портале HHS в категории «Взлом/ИТ-инцидент» с указанием объекта «Сетевой сервер».

Компания сообщила, что к некоторым файлам могли получить доступ или вывести их из сети; при этом она не заявляла, что эксфильтрация данных была окончательно установлена. Таким образом, эта запись подтверждает реальный инцидент нарушения безопасности, о котором было сообщено, но не представляет кражу данных как доказанный факт. HIPAA Journal также сообщает о том же периоде, установленном в ходе компьютерно-технического расследования, и о возможном получении информации без разрешения.

Дата начала инцидента определена по самой ранней технической активности, которую можно подтвердить по открытым источникам. MCBS обнаружила несанкционированную активность примерно 25 сентября, локализовала инцидент и начала расследование; установленный период активности завершился 26 сентября. Дата обнаружения не подменяет более раннюю дату начала.

Компания вручную проверила потенциально затронутые файлы и 28 мая 2026 года установила, что они могли содержать персональные данные и медицинскую информацию. Сведения об инциденте были поданы в HHS OCR 26 июня 2026 года, а позднее он появился в федеральном списке с числом пострадавших 1 261 464 человека. Длительная проверка была связана с необходимостью сопоставить файлы разных клиентов с конкретными людьми и полями данных.

Среди раскрытых категорий идентификационных данных были имена, почтовые адреса, даты рождения и номера социального страхования. Потенциально также были затронуты номера получателей медицинского страхового покрытия, номера полисов медицинского страхования или идентификационные номера застрахованных лиц, а также другие страховые сведения. Непроверенные сведения о числе людей, полях данных и заявления злоумышленников не включаются в публично подтверждённый охват инцидента.

Номера социального страхования и даты рождения, идентификаторы, сохраняющие актуальность в течение длительного времени. Их сочетание со страховыми идентификаторами может повысить риск мошеннического открытия новых счетов, подачи ложных заявлений на возмещение медицинских расходов или целевого фишинга. Компания заявила, что у неё нет доказательств кражи личности, связанной с инцидентом. Отсутствие обнаруженного неправомерного использования не означает, что раскрытие данных не создаёт рисков в будущем.

К категориям медицинских данных относились анамнез, сведения о психическом или физическом состоянии, медицинском лечении и диагнозах. Эти сведения могут раскрывать конфиденциальные подробности как о ранее оказанной помощи, так и о текущем состоянии здоровья. Источники не подтверждают отдельно наличие результатов лабораторных исследований, рецептов, медицинских изображений или номеров медицинских карт, поэтому эти поля не добавляются на основании предположений.

MCBS оказывает медицинским организациям услуги по выставлению счетов и управлению. Этим объясняется, почему идентификационные и страховые данные могли находиться в том же наборе файлов, что и клиническая информация. HHS относит компанию к категории «Деловой партнёр»; затронутые организации, подпадающие под регулирование, не представлены так, будто каждая из них подверглась отдельной атаке.

Опубликованное официальным источником число затронутых людей или записей отражает заявленный охват инцидента. Это не означает, что каждая раскрытая категория данных относилась к каждому человеку. В первоначальном публичном уведомлении MCBS число пострадавших не указывалось, а в публикации HIPAA Journal в начале июля сообщалось, что общее число ещё неизвестно. Позднее опубликованное регулятором число является подтверждённым актуальным показателем, который в этой записи заменяет прежнюю неопределённость.

Компания перечисляет C&C MD PC, Nuclear Medicine and Pathology Associates, Radiation Oncology Associates, SkinPath Solutions, South Georgia Radiology Consultants, Stephen W. Brown & Radiology Associates of Augusta и Vascular Radiology Associates II как организации, подпадающие под регулирование. Общий показатель из федерального источника не распределяется между ними, не учитывается семь раз и не разбивается на вымышленные промежуточные итоги.

В публичном уведомлении MCBS рекомендовала регулярно проверять операции по финансовым счетам и рассмотреть возможность бесплатного размещения отметки о риске мошенничества сроком на один год либо заморозки кредитной истории. HIPAA Journal сообщал, что пострадавшим предложили 12 месяцев мониторинга кредитной истории и защиты от кражи личности. Если вы получили уведомление, следуйте порядку регистрации и учитывайте конкретный объём услуг, указанные в вашем письме.

Помимо кредитных отчётов, проверяйте разъяснения страховых выплат по медицинскому страхованию на наличие незнакомых услуг, медицинских организаций или заявлений на возмещение. Неожиданные запросы об оплате или подтверждении личности от имени MCBS либо связанной с ней медицинской организации следует проверять через известный вам официальный канал. LeakData не публикует персональные, медицинские или страховые данные; сервис документирует только подтверждённые метаданные инцидента.