Утечка данных OSC в Коннектикуте в 2025 году

Архивное официальное уведомление Orthopaedic Specialists of Connecticut связывает доступ к сети 2 марта, меры реагирования, принятые в тот же день, и перечисленные в уведомлении категории данных в рамках одного инцидента. Запись HHS OCR подтверждает название медицинской организации в Коннектикуте, дату подачи сообщения, 23 апреля 2025 года, и общее число затронутых людей: 22 541.

Независимая сводка об инциденте подтверждает сведения о той же организации, дате события, числе затронутых людей и категориях данных. Дата первоначального доступа, завершение оценки масштаба инцидента в апреле и уведомление потребителей от 23 апреля относятся к разным этапам и не сводятся к одной дате публикации.

2 марта постороннее лицо получило несанкционированный доступ к сетевой инфраструктуре OSC. Обнаружив инцидент, организация приняла меры по защите сети и привлекла специализированную компанию по компьютерно-техническому расследованию и реагированию на инциденты, чтобы определить масштаб несанкционированной активности.

По результатам расследования было установлено, что злоумышленник мог получить некоторые данные. В публичном уведомлении не раскрываются способ первоначального доступа, использованная техническая уязвимость и продолжительность доступа в течение того дня. Поэтому в этой записи не указывается какой-либо неподтверждённый способ атаки.

В зависимости от человека потенциально затронутые сведения включали имена и фамилии, даты рождения, номера социального страхования, идентификационные номера медицинского страхования и медицинскую информацию. В официальном уведомлении прямо указано, что эти категории данных могли быть раскрыты.

По словам организации, набор затронутых сведений различался у разных людей. Адреса электронной почты, пароли, адреса, платёжные карты и финансовые счета не включены в перечень, поскольку официальное уведомление об инциденте не подтверждает, что эти категории были затронуты.

Раскрытие номеров социального страхования вместе с данными медицинского страхования и медицинской информацией может повысить риск мошенничества с использованием чужих персональных данных, подачи фиктивных требований об оплате медицинских услуг или страхового мошенничества. Некоторые из этих идентификаторов трудно изменить, поэтому имеет смысл следить за возможными признаками злоупотреблений в долгосрочной перспективе.

Человек, знающий реальные подробности лечения или страхования, может составить более убедительное сообщение, выдавая себя за представителя OSC, врача или страховщика. Знание этих сведений не подтверждает его полномочий, а неожиданные запросы следует проверять по независимому каналу связи.

OSC приняла меры по защите своей сети, работала с внешними специалистами по компьютерно-техническому расследованию и сообщила, что пересмотрела и усилила технические меры защиты. После завершения оценки масштаба инцидента организация направила письменные уведомления людям, чьи сведения могли быть затронуты.

Тем, кто соответствовал условиям программы, организация предложила 12 месяцев бесплатного мониторинга кредитной истории и защиты от мошенничества с использованием персональных данных. В уведомлении от 23 апреля организация сообщила, что не получала сообщений о неправомерном использовании данных или связанном с ним мошенничестве с использованием чужих персональных данных. Это заявление не гарантирует, что данные не будут использованы неправомерно в дальнейшем.

Получателям уведомлений следует регулярно проверять кредитные отчёты, финансовые счета и пояснения к выплатам по медицинскому страхованию, обращая внимание на незнакомые им счета, операции, услуги или требования о выплатах. О подозрительных записях следует сообщать соответствующей финансовой организации, медицинской организации или страховщику.

Не сообщайте номер социального страхования, сведения о здоровье, пароль или одноразовый код подтверждения в ответ на неожиданное электронное письмо, сообщение или звонок. Если запрос якобы поступил от OSC, проверьте его, используя контактные данные с официального сайта организации, а не ссылки или номера из сообщения.