Утечка данных NAS Recovery Solutions в 2026 году

Основной источник, «Важное уведомление об инциденте, связанном с конфиденциальностью», опубликованное на собственном сайте NAS Recovery Solutions на платформе Squarespace. В этом одностраничном официальном документе прямо указаны дата обнаружения, факт скачивания данных сотрудниками, затронутые поля, категории данных, которые, согласно результатам расследования, не были затронуты, а также меры, принятые организацией для устранения последствий.

Вторым подтверждением служит запись об утечке в реестре HHS OCR: организация указана как поставщик медицинских услуг, инцидент отнесен к несанкционированному доступу или раскрытию данных, местами хранения данных названы электронные медицинские карты и сетевой сервер, а число пострадавших составляет 7 000 человек. Независимая публикация HIPAA Journal от 23 июля 2026 года также приводит официально указанные тип инцидента, число пострадавших и ограниченный объем затронутых данных.

NAS Recovery Solutions узнала, что отдельные сотрудники могли без разрешения скачать определенные сведения о клиентах. Организация описала произошедшее как внутреннее нарушение прав доступа, а не взлом своей сети внешним злоумышленником. После обнаружения инцидента она обеспечила защиту соответствующих записей и систем и провела всестороннее расследование.

В официальном уведомлении не раскрывается, когда были скачаны файлы, как долго сотрудники сохраняли доступ и зачем они получили эти сведения. Дата инцидента определяется по самой ранней технической активности, которую можно подтвердить по общедоступным источникам. Источники также не сообщают, что сведения были опубликованы в интернете, проданы или переданы внешнему злоумышленнику.

Согласно официальному уведомлению, возможный состав затронутых данных ограничивается именем, фамилией, номером телефона и датой рождения. Хотя эти сведения сами по себе не дают доступа к финансовому счету, в сочетании с информацией из других источников они могут сделать более убедительными попытки фишинга, телефонного мошенничества, выдачи себя за другого человека и целевой социальной инженерии.

Поскольку данные хранились у организации, оказывающей помощь при расстройствах, связанных с употреблением психоактивных веществ, они могут косвенно указывать на то, что человек является или ранее являлся клиентом NAS Recovery Solutions. Эта связь крайне чувствительна с точки зрения конфиденциальности. В официальном уведомлении не говорится, что были скачаны конкретный диагноз, план лечения, запись о терапевтическом сеансе, рецепт, результат лабораторного исследования или содержимое медицинской карты.

Расследование не выявило несанкционированного доступа к номерам социального страхования, номерам водительских удостоверений, сведениям о финансовых счетах, идентификационным номерам медицинского страхования или данным платежных карт. Организация также прямо заявила, что не обнаружила несанкционированного доступа к самим записям о лечении расстройств, связанных с употреблением психоактивных веществ.

Отсутствие таких признаков не устраняет риск нарушения конфиденциальности и стигматизации, возникающий из-за возможного раскрытия статуса клиента. Число пострадавших по каждому отдельному полю данных публично не раскрывалось.

NAS Recovery Solutions пересмотрела права доступа сотрудников и меры контроля безопасности, внедрила дополнительные меры защиты конфиденциальности и безопасности, а также провела дополнительное обучение по требованиям HIPAA и соблюдению конфиденциальности. Она также сообщила, что в отношении причастных лиц были приняты соответствующие корректирующие меры, однако характер возможных дисциплинарных взысканий публично не раскрывался.

Пострадавшие и регулирующие органы были уведомлены в соответствии с требованиями закона. Запись HHS, в которой указаны 7 000 человек, является официальным общедоступным источником общего числа пострадавших.

Следует с осторожностью относиться к неожиданным звонкам, текстовым сообщениям и электронным письмам от тех, кто представляется сотрудником NAS Recovery Solutions. Знание имени, номера телефона и даты рождения не следует считать доказательством полномочий собеседника. Для ответа нужно самостоятельно связаться с организацией через ее официальный сайт или ранее проверенный канал связи и не переходить по ссылкам в неожиданных сообщениях.

При возникновении вопросов можно обратиться к ответственному за конфиденциальность по номеру 720-239-2848, указанному в официальном уведомлении. Следует сохранять свидетельства подозрительных обращений, в которых используется информация о получении медицинской помощи, и сообщать о них организации. Если появится подозрительное сообщение или событие в аккаунте, его следует проверить через актуальный официальный канал связи организации, не используя ссылки из сообщения. Если доступно индивидуальное письмо-уведомление, именно оно служит основным источником сведений о том, какие данные конкретного человека были затронуты и какие варианты защиты ему предложены.