Утечка данных PIH Health в 2024 году

PIH Health обнаружила атаку, нарушившую работу систем, 1 декабря 2024 года и начала проверку с участием специалистов по компьютерно-техническим расследованиям. Примерно 16 декабря 2025 года организация установила, что файлы на скомпрометированных участках её сети содержали информацию о пациентах и что злоумышленник мог получить доступ к ним или завладеть ими. Это заключение и отчёт HHS подтверждают, что инцидент является утечкой персональных данных.

HHS OCR относит событие к категории «Хакерская атака / IT-инцидент», указывает «Сетевой сервер» как место хранения информации и «Поставщик медицинских услуг» как тип организации. HIPAA Journal изучил обновлённое заявление PIH Health, запись в реестре регулирующего органа и хронологию атаки, подтвердив масштаб инцидента, почти 2,95 миллиона пациентов. Источники сходятся в том, что последствия не ограничились сбоем в работе систем: инцидент затронул персональные данные и защищённую медицинскую информацию.

Результаты компьютерно-технического расследования показывают, что злоумышленник находился в сети PIH Health с 14 ноября по 23 декабря 2024 года. Дата инцидента определяется по самой ранней технической активности, которую можно подтвердить по общедоступным источникам. Атака, обнаруженная 1 декабря, нарушила работу некоторых компьютерных систем и телефонных линий; чтобы продолжать оказание помощи, медицинский персонал использовал процедуры на случай простоя систем и вёл записи вручную.

Подробный анализ затронутых файлов и составление списка людей заняли около года. Получив полный список затронутых лиц в декабре 2025 года, PIH Health собрала контактные данные и начала рассылать уведомления. В записи HHS сохраняется первоначальная дата подачи сведений: 31 января 2025 года, тогда как указанное сейчас число 2 947 264 отражает результаты более позднего уточнения масштаба инцидента.

PIH Health сообщила, что наборы затронутых данных различались в зависимости от человека. Помимо имён и почтовых адресов, файлы могли содержать номера социального страхования и идентификационные номера налогоплательщиков. Среди указанных идентификационных данных также были номера водительских удостоверений. Такое сочетание повышает риски кражи личности, налогового мошенничества и злоупотреблений, связанных с открытием новых счетов.

Инцидент затронул медицинскую информацию и сведения о медицинском страховании. В некоторых файлах также содержались реквизиты финансовых счетов и номера кредитных или дебетовых карт. Источники не утверждают, что данные из каждой категории присутствовали у всех 2 947 264 человек; пароли, содержимое электронной почты и все подробные сведения о лечении, о которых заявлял злоумышленник, не включены в общий перечень данных, подтверждённый организацией.

В списке открытых расследований HHS OCR имеется одна запись PIH Health Inc., в которой указано 2 947 264 человека. Это число отражает круг затронутых лиц, установленный после анализа данных организацией. Число затронутых лиц или записей, опубликованное официальным источником, отражает заявленный масштаб инцидента. Это не означает, что каждая из указанных категорий данных относилась к каждому человеку.

Число HHS относится к затронутым людям, а не к похищенным файлам или строкам базы данных. У одного пациента может быть несколько медицинских записей, поэтому число записей не обязательно совпадает с числом людей.

Злоумышленник, личность которого публично не установлена, заявил о похищении примерно 2 TB данных и 17 миллионов записей о пациентах, потребовал выкуп и опубликовал некоторые образцы в интернете. В заявлении упоминались эпизоды оказания медицинской помощи, записи о лечении рака, личная электронная переписка и документы организации. Первоначально PIH Health сообщила, что не может проверить подлинность сообщения с требованием выкупа или подтвердить заявления о краже данных.

Указанное позднее HHS число 2 947 264 затронутых человека указывает на то, что заявленные 17 миллионов записей не соответствовали числу уникальных пациентов либо были преувеличением. Число затронутых лиц или записей, опубликованное официальным источником, отражает заявленный масштаб инцидента. Это не означает, что каждая из указанных категорий данных относилась к каждому человеку. Эта запись опирается на итоговое число регулирующего органа и категории информации, подтверждённые организацией.

PIH Health сообщила, что на момент отправки уведомлений не обнаружила свидетельств неправомерного использования затронутой информации или попыток такого использования, и предложила бесплатный мониторинг кредитной истории и защиту от кражи личности. Получателям уведомлений следует проверять кредитные отчёты, налоговые счета и финансовые операции, а если был затронут номер социального страхования, рассмотреть возможность блокировки доступа к кредитной истории.

Если в медицинских и страховых выписках указаны незнакомые услуги, медицинские организации или требования об оплате, об этом следует сообщить через официальные каналы PIH Health и программы медицинского страхования для обращений по вопросам конфиденциальности. Люди, чьи данные карт или счетов были затронуты, могут обсудить с финансовой организацией замену карт или реквизитов и усиленный мониторинг операций.