Утечка данных Oglethorpe, Inc. в 2025 году

Основной источник, четырёхстраничное уведомление об инциденте безопасности данных, отправленное от имени Oglethorpe 31 октября 2025 года. В письме непосредственно изложены обстоятельства обнаружения инцидента и его технического расследования, даты завершения проверки, виды полученной злоумышленником информации, принятые меры безопасности и услуги, предложенные пострадавшим.

Второй источник, портал утечек HHS OCR, который подтверждает число пострадавших, тип организации, категорию инцидента и место хранения информации. Третий, публикация HIPAA Journal от 4 ноября 2025 года, в которой независимо описаны период несанкционированного доступа, проверка файлов и круг лиц, подлежащих уведомлению. Сведения о компании, хронологии, категориях данных и общем числе пострадавших, 92 332 человека, совпадают во всех источниках.

6 июня или примерно в эту дату Oglethorpe обнаружила инцидент безопасности, в ходе которого постороннее лицо получило несанкционированный доступ к её сетевой среде. Организация привлекла внешних специалистов по цифровой криминалистике, чтобы обезопасить среду и установить масштаб несанкционированной активности. Согласно описанию проверки в HIPAA Journal, доступ имел место в период с 15 мая по 6 июня 2025 года.

Расследование завершилось 16 сентября. Оно установило, что во время инцидента постороннее лицо завладело информацией, относящейся к определённым людям. Затем Oglethorpe проверила затронутые файлы, чтобы установить личности этих людей и их адреса; эта работа завершилась 23 октября. Дата инцидента определяется по самой ранней технической активности, которую можно подтвердить по публичным источникам.

Согласно уведомлению, данные, к которым могли получить доступ и которыми могли завладеть, включали имена и фамилии, даты рождения, номера водительских удостоверений, номера социального страхования и медицинскую информацию. Такое сочетание данных особенно чувствительно: оно может способствовать краже личности, мошенническому открытию счетов, адресным мошенническим схемам и использованию чужих персональных данных в медицинской сфере.

Организация не утверждала, что все перечисленные категории данных присутствовали у каждого из 92 332 человек. Поэтому в этой записи не приводится численность отдельных подгрупп и не добавляются нераскрытые сведения об адресах, адресах электронной почты, паролях, платёжных картах, банковских счетах или идентификаторах медицинского страхования. Источники также не подтверждают, что инцидент был связан с программой-вымогателем или что похищенные файлы были опубликованы в открытом доступе.

Опубликованное официальным источником число пострадавших людей или записей отражает заявленный масштаб инцидента. Оно не означает, что каждая из раскрытых категорий данных относилась к каждому человеку. Такое же общее число приводится в публичных сообщениях, основанных на документах, поданных в ведомство генерального прокурора штата Мэн. Это число людей, которым полагалось направить уведомление, а не количество файлов, медицинских записей, посещений учреждений или отдельных элементов данных.

Oglethorpe, сеть, предоставляющая управленческие решения центрам, клиникам и больницам, которые специализируются на психическом здоровье, лечении расстройств, связанных с употреблением психоактивных веществ, и оказании помощи в сфере поведенческого здоровья.

По заявлению организации, после обнаружения инцидента она совместно с внешними специалистами обеспечила безопасность сети, очистила и восстановила затронутые системы, а также пересмотрела или изменила политики, процедуры и программное обеспечение, связанные с безопасностью систем и серверов. Oglethorpe также уведомила FBI и заявила, что в полной мере сотрудничает со следствием.

В письме от 31 октября говорится, что на эту дату не было обнаружено свидетельств конкретных случаев неправомерного использования данных. Тем не менее пострадавшим бесплатно предложили двенадцать месяцев кредитного мониторинга по данным одного кредитного бюро, сервис предоставления кредитного отчёта и кредитной оценки, а также помощь в случае мошенничества. Отсутствие сведений о неправомерном использовании данных на момент уведомления не исключает последующего мошенничества с использованием чужой личности или в сфере здравоохранения.

Получателям уведомления следует подключить бесплатный сервис мониторинга в течение указанного в письме срока регистрации и регулярно проверять кредитные отчёты, запросы, связанные с открытием новых счетов, и историю оказанных медицинских услуг. О незнакомом кредитном счёте, медицинской процедуре или требовании страхового возмещения следует сообщить соответствующей организации через ранее известный официальный канал связи.

Сочетание номеров социального страхования и медицинской информации может сделать адресный фишинг убедительным. Не следует напрямую открывать ссылки в неожиданных сообщениях, отправители которых представляются Oglethorpe, лечебным учреждением, кредитным бюро или страховой компанией. Для связи используйте официальный сайт или проверенный номер телефона.