Утечка данных NYC Health + Hospitals в 2025 году

24 марта 2026 года NYC Health + Hospitals сообщила, что в результате инцидента безопасности персональные данные и защищённая медицинская информация стали доступны посторонним. Компьютерно-техническая экспертиза установила, что постороннее лицо находилось в сети примерно одиннадцать недель и похитило файлы. Таким образом, заявление организации подтверждает получение данных злоумышленником, а не только возможность их просмотра.

HHS OCR относит событие к категории «Хакерская атака / IT-инцидент», указывает «Сетевой сервер» как место хранения информации и «Поставщик медицинских услуг» как тип организации. HIPAA Journal сопоставил сообщение организации с записью федерального ведомства, подтвердив период доступа, хищение файлов, затронутые группы людей и основные категории данных. Источники не связывают атаку с какой-либо конкретной группировкой, использующей программы-вымогатели.

Злоумышленник впервые получил доступ к сети 25 ноября 2025 года. Организация обнаружила подозрительную активность и приняла меры по защите систем 2 февраля 2026 года, однако расследование показало, что доступ сохранялся до 11 февраля. Дата инцидента определяется по самой ранней технической активности, которую можно подтвердить по открытым источникам.

Организация публично сообщила об инциденте в марте 2026 года, продолжая анализ затронутых файлов. В записи HHS указана дата подачи сведений, 24 марта, и число затронутых людей: 1,8 миллиона. NYC Health + Hospitals сообщила, что первоначальный доступ мог быть получен после нарушения безопасности у стороннего поставщика, название которого не раскрывается; в этой исходной записи ни название поставщика, ни технический способ проникновения не приводятся без подтверждения.

Медицинская информация включала номера медицинских карт, коды инвалидности, диагнозы, сведения о лекарствах, результаты анализов и обследований, изображения и планы лечения. Эти поля содержат подробные сведения о здоровье человека, которые сохраняют значимость долгое время. Поскольку организация не заявляла, что каждое поле с клинической информацией присутствовало в каждом файле, перечисленные категории описывают возможный объём данных, затронутых у отдельного человека.

Могли быть затронуты сведения о планах и полисах медицинского страхования, названия страховщиков, идентификаторы застрахованных лиц и групп, а также идентификаторы Medicaid, Medicare или других государственных плательщиков медицинских услуг. Информация о выставленных счетах и требованиях о страховом возмещении также входила в число затронутых данных. Эти сведения могут использоваться для подачи мошеннических требований об оплате медицинских услуг, использования чужих персональных данных в медицинских целях и адресного страхового мошенничества.

Персональные данные включали имена, номера социального страхования, номера водительских удостоверений или других государственных документов, удостоверяющих личность, а также идентификационные номера налогоплательщиков. Были затронуты и выданные IRS PIN-коды защиты личности, а также точные геолокационные данные. Кроме того, были затронуты номера кредитных или дебетовых карт, сведения о финансовых счетах или данные для доступа к ним, что повышает риски налогового мошенничества, мошенничества с социальными выплатами и открытием новых счетов.

В файлах содержались биометрические данные, такие как отпечатки пальцев и ладоней, а также учётные данные онлайн-аккаунтов. Пароли можно изменить, но биометрические характеристики остаются неизменными, поэтому последствия могут быть более длительными. Обширный перечень не означает, что у каждого человека были затронуты все перечисленные поля.

Примерно в тот же период отдельный инцидент у партнёра по координации медицинской помощи NADAP также затронул пациентов NYC Health + Hospitals. Это событие затронуло около 5 086 человек в ноябре 2025 года; были раскрыты имена, даты рождения, адреса, номера Medicaid, номера социального страхования и клиническая информация, связанная с оказанием помощи на дому.

Инцидент NADAP связан с другой организацией, имеет другую дату обнаружения и другой охват уведомлений, поэтому его не включают в сетевую утечку, затронувшую 1,8 миллиона человек. Такое разделение позволяет избежать возможного двойного подсчёта и объединения разных инцидентов.

NYC Health + Hospitals предложила 24 месяца бесплатного мониторинга кредитной истории и защиты от мошенничества с использованием персональных данных людям, которые были пациентами или сотрудниками в период с 2020 года по 2 февраля 2026 года. Получателям уведомлений следует проверять кредитные отчёты, учётные записи в налоговых органах и системах социальных выплат, а также операции по картам и банковским счетам. Если был затронут номер социального страхования, стоит рассмотреть возможность заморозки кредитной истории.

Следует сообщать о незнакомых услугах и требованиях об оплате, указанных в медицинских или страховых выписках. Людям, чьи биометрические данные или сведения об онлайн-аккаунтах были затронуты, следует с осторожностью относиться к неожиданным запросам на подтверждение личности и использовать уникальные пароли.