Утечка данных OpenLoop Health в 2026 году

7 января 2026 года организация узнала, что третья сторона без разрешения получила доступ к некоторым системам, и начала реагирование на инцидент. Расследование с участием специалистов по кибербезопасности подтвердило, что третья сторона находилась в системах 7 и 8 января и в этот период скопировала определённые файлы. Таким образом, организация подтвердила получение данных третьей стороной, а не только возможность их просмотра.

HHS OCR относит событие к категории «Хакерская атака/ИТ-инцидент», указывает «Сетевой сервер» как место хранения информации и классифицирует OpenLoop как «Делового партнёра». HIPAA Journal сопоставил уведомление в Калифорнии с федеральной записью и сообщил о периоде доступа, копировании файлов и масштабе инцидента: 716 000 человек. Источники не подтверждают способ первоначального доступа и не связывают атаку с какой-либо названной группировкой, использующей программы-вымогатели.

Дата инцидента определяется по самой ранней технической активности, которую можно подтвердить по общедоступным источникам. Несанкционированная активность прекратилась 8 января; узнав о событии, организация защитила свои системы и проверила их содержимое, чтобы определить, какие файлы были скопированы. Даты обнаружения, прекращения доступа и уведомления указываются отдельно от даты начала инцидента.

Позднее OpenLoop уведомила пострадавших, а 17 марта 2026 года сведения о событии были поданы на федеральный портал HHS. Новостная публикация, обновлённая в мае, подтвердила указанное в федеральной записи общее число: 716 000 человек. Короткий период доступа не устраняет риск: подтверждённое копирование файлов означает, что информация покинула затронутые системы.

Среди раскрытых категорий персональных данных были имена, почтовые адреса, адреса электронной почты и даты рождения. В скопированных файлах также содержалась медицинская информация; в уведомлении организации не перечислялись более конкретные категории, такие как диагнозы, лечение или назначения лекарств.

Состав данных различался от человека к человеку, и в сообщении не утверждалось, что все категории данных присутствовали у каждого пострадавшего. Неподтверждённые сведения о числе людей, полях данных и заявления злоумышленников не включаются в публично описанный масштаб инцидента. Данные платёжных карт, банковских счетов, пароли и биометрическая информация также не были указаны как подтверждённо затронутые этим событием и не добавляются в запись.

Опубликованное официальным источником число пострадавших людей или записей отражает заявленный масштаб инцидента. Это не означает, что каждая раскрытая категория данных относилась к каждому человеку. Именно такой масштаб организация сообщила федеральному ведомству в рамках своих обязательств по уведомлению согласно HIPAA. LeakData не округляет это число, не пересчитывает его по новостному заголовку и не рассчитывает предполагаемое число пострадавших для отдельных групп клиентов.

Злоумышленник, использующий имя Stuckin2019, утверждал, что получил данные о 1,6 миллиона пациентов, и заявил о публикации образцов. OpenLoop не подтвердила это большее число, тогда как в достоверной официальной записи указаны 716 000 человек. Поэтому заявленное злоумышленником число не добавляется к общему итогу, и эти два значения не суммируются.

Утечка у делового партнёра может затронуть более широкую сеть оказания медицинской помощи, чем инцидент у одной организации, непосредственно оказывающей такие услуги. Данные, позволяющие установить личность, например адреса и даты рождения, в сочетании с медицинской информацией могут сделать более убедительными фишинг, поддельные счета или попытки социальной инженерии от имени медицинских организаций. Однако источники не сообщают об обнаруженных случаях злоупотребления этими данными.

Поскольку OpenLoop предоставляет платформу, запись ведётся под именем этой компании; отдельные неподтверждённые записи об утечке для каждого клиента не создаются. Классификация «Деловой партнёр» в записи HHS подтверждает эту роль поставщика. Данная запись охватывает только 716 000 пострадавших, сведения о которых подтверждены федеральным отчётом и относятся к тому же периоду доступа в январе.

OpenLoop предложила пострадавшим бесплатный мониторинг кредитной истории и защиту от кражи личности. Получателям уведомлений следует ознакомиться с указанным в их письме составом затронутых данных, следить за кредитными отчётами и пояснениями к выплатам по медицинской страховке, а также сообщать соответствующей организации о неизвестных им услугах или заявлениях на страховое возмещение. Хотя сообщалось, что номера социального страхования не были затронуты, неожиданные сообщения на медицинскую тему всё равно требуют осторожности.

Сообщения, в которых используются имя человека, его адрес, адрес электронной почты и дата рождения, могут выглядеть так, будто их отправила настоящая медицинская организация. Следует пользоваться известными официальными каналами связи, а не ссылками в сообщениях, и самостоятельно проверять неожиданные запросы на оплату или предоставление пароля.