Утечка данных QualDerm Partners в 2025 году

QualDerm сообщила об обнаружении несанкционированной активности в своей компьютерной сети и о том, что доступ продолжался с 23 по 24 декабря 2025 года. Компьютерно-техническое расследование установило, что за этот короткий период за пределы сети были переданы файлы с конфиденциальной информацией. Таким образом, эта запись основана на подтверждённом организацией получении данных злоумышленником, а не только на предположении о том, что данные могли быть просмотрены.

HHS OCR классифицирует событие как «Взлом/IT-инцидент», указывает «Сетевой сервер» в качестве затронутого места хранения данных и «Поставщик медицинских услуг» в качестве типа организации. HIPAA Journal сопоставил уведомление компании, документ, поданный регулятору штата Орегон, и запись HHS, подтвердив хронологию, перечень затронутых данных и масштаб инцидента, охватившего несколько миллионов человек. Согласующиеся сведения из этих источников подтверждают реальный доступ к сети, несанкционированную передачу файлов за её пределы и то, что была затронута информация о пациентах.

Подтверждённый доступ начался 23 декабря 2025 года и прекратился, когда QualDerm обнаружила необычную активность 24 декабря. Дата инцидента определяется по самой ранней технической активности, которую можно подтвердить по открытым источникам. Затем организация приняла меры по защите своей сети и компьютерных систем и совместно с внешними специалистами выясняла характер и масштаб произошедшего.

QualDerm сообщила, что проверка файлов продолжается, а уведомления будут поэтапно рассылаться по почте, чтобы избежать ненужных задержек. В первой опубликованной оценке речь шла о 174 837 пострадавших жителях Техаса; позднее в документах штата Орегон и HHS было указано 3 117 874. HHS теперь указывает обновлённое число пострадавших: 3 433 965 человек, поэтому прежние промежуточные значения к нему не прибавляются.

В зависимости от конкретного человека затронутые сведения могут включать имена, адреса электронной почты, даты рождения и даты смерти. В опубликованный перечень также вошли имена врачей и номера медицинских карт. Наличие диагнозов, сведений о лечении и данных медицинского страхования показывает, что инцидент затронул не только идентификационные сведения, но и защищённую медицинскую информацию.

По словам QualDerm, у очень небольшой группы людей также могли быть затронуты сведения из выданных государством удостоверений личности, например номера водительских удостоверений. Источники не указывают номера социального страхования, данные платёжных карт, банковские счета или пароли от аккаунтов среди подтверждённых категорий данных. Поэтому в этой записи перечислены только опубликованные категории и не утверждается, что каждая из них была затронута у каждого человека.

В списке текущих расследований HHS OCR сейчас указано 3 433 965 человек в записи QualDerm Partners LLC, поданной 22 февраля 2026 года. Это значение обновляет прежнее число 3 117 874 из регуляторной отчётности, которое приводилось в новостях. Число пострадавших людей или затронутых записей, опубликованное официальным источником, отражает заявленный масштаб инцидента. Это не означает, что у каждого человека были затронуты все перечисленные категории данных.

Ранее QualDerm сообщала, что обслуживает 158 дерматологических клиник и клиник по уходу за кожей в 17 штатах, а её сеть ежегодно охватывает более 15 миллионов пациентов. Этот масштаб деятельности не равен числу пострадавших от утечки. LeakData не использует оценку в 15 миллионов, не придумывает число пострадавших по отдельным клиникам и не указывает число пострадавших, превышающее подтверждённый HHS итог в уведомлении: 3 433 965.

QualDerm сообщила, что на момент раскрытия инцидента не обнаружила доказательств неправомерного использования данных пациентов, и предложила пострадавшим бесплатный мониторинг кредитной истории и защиту от кражи личных данных. Отсутствие известных случаев неправомерного использования не отменяет подтверждённую передачу файлов за пределы сети и не устраняет риск мошенничества в будущем. Организация также сообщила, что пересматривает политики, процедуры и протоколы защиты данных.

Открытые источники не подтверждают личность злоумышленника, способ первоначального проникновения, требование выкупа или объём переданных за пределы сети файлов. Поэтому LeakData не связывает инцидент с конкретной группой, использующей программы-вымогатели, и не приписывает ему неподтверждённую первопричину, такую как фишинг, кража учётных данных или уязвимость. Эта запись ограничивается подтверждённым доступом к сети, несанкционированной передачей файлов за её пределы и опубликованными категориями информации.

Пациентам, получившим уведомление, следует сверить указанную дерматологическую клинику и сведения о лечащем враче со своими записями. Если в медицинских документах обнаружатся незнакомый диагноз, лечение, поставщик медицинских услуг или требование страхового возмещения, об этом следует сообщить через официальные каналы связи по вопросам конфиденциальности организации, предоставляющей медицинское страхование, и клиники. Сообщения с просьбой предоставить номер медицинской карты или документ, удостоверяющий личность, нужно проверять независимым способом, прежде чем открывать какие-либо ссылки.

Люди из небольшой группы, у которой были затронуты данные государственных удостоверений личности, могут обратиться в выдавшее документ ведомство и узнать о дополнительных мерах защиты или замене документа. Им также следует проверить крайний срок подключения предложенного мониторинга.