Утечка данных Saint Anthony Hospital в 2025 году

Основной источник подтверждения, уведомление об инциденте безопасности данных, опубликованное больницей на собственном домене. В нём говорится, что постороннее лицо могло получить доступ к двум учётным записям электронной почты сотрудников и что инцидент привёл к несанкционированному доступу к отдельным неструктурированным файлам в сети или завладению ими. Организация также подтверждает, что изолировала затронутые системы и провела расследование с привлечением сторонних специалистов по кибербезопасности.

HHS OCR указывает, что инцидент произошёл у поставщика медицинских услуг, относит его к категории «Взлом/ИТ-инцидент» и обозначает электронную почту как место хранения затронутой информации. Запись в федеральном реестре о 146 108 затронутых людях подкрепляет выводы больницы о том, что инцидент затронул персональные данные пациентов и сведения об их здоровье. HIPAA Journal независимо сопоставил источники и подтвердил дату доступа, завершение проверки, сроки уведомления и уточнённый масштаб инцидента.

Согласно официальному уведомлению, доступ к неструктурированным файлам и папкам или завладение ими произошли примерно 27 февраля 2025 года. Дата инцидента определена по самой ранней технической активности, которую можно подтвердить по открытым источникам. В опубликованном тексте не указаны первый день доступа злоумышленника к учётным записям, общая продолжительность доступа и дата первоначального обнаружения инцидента больницей, поэтому в этой записи не приводится предположительная более ранняя дата начала.

Saint Anthony совместно со специалистами определяла, какие данные и люди были затронуты, и завершила проверку файлов примерно 13 февраля 2026 года. Затем больница опубликовала альтернативное уведомление и 6 марта 2026 года начала рассылать уведомления по почте людям, которых инцидент мог затронуть. Промежуток примерно в один год связан с проверкой файлов и установлением личностей затронутых людей, а не означает, что злоумышленник сохранял доступ в течение всего этого времени.

В официальном заявлении за март 2026 года говорится, что затронутые неструктурированные данные содержали персональные данные пациентов и личные сведения об их здоровье. В нём не перечислены отдельно имена, адреса, даты рождения, номера социального страхования, диагнозы, рецепты или номера счетов применительно к этому инциденту. Неподтверждённые сведения о числе людей и полях данных, а также заявления злоумышленников не включаются в публично описываемый масштаб инцидента.

В более раннем публичном уведомлении Saint Anthony был приведён подробный перечень полей данных, однако HHS содержит сведения об инцидентах с разными датами и разным числом затронутых людей, поэтому автоматически объединять их было бы ненадёжно. Эта запись относится к уведомлению за март 2026 года, охватывающему 146 108 человек, и не переносит перечень полей из предыдущего инцидента в описание нового. Также не предполагается, что в файлах каждого человека содержались одни и те же категории данных.

Расследование Saint Anthony с применением методов цифровой криминалистики установило, что этот инцидент не затронул систему электронных медицинских карт больницы. Однако это не означает, что медицинская информация не была затронута: персональные данные пациентов и защищаемая медицинская информация были обнаружены в неструктурированных файлах, связанных с почтовой средой. Это разграничение позволяет отличать центральную платформу электронных медицинских карт от документов, хранящихся в электронной почте или сетевых хранилищах.

Поэтому LeakData указывает электронную почту как затронутую систему и не подразумевает, что вся клиническая платформа была скомпрометирована. Неструктурированными файлами могли быть вложения, отсканированные документы или записи в свободной форме, но источники не уточняют их форматы, поэтому эти варианты не приводятся как установленные факты. Документально подтверждённое раскрытие данных ограничивается двумя категориями, которые больница прямо подтвердила.

Опубликованное официальным источником число затронутых людей или записей отражает заявленный масштаб инцидента. Оно не означает, что каждая указанная категория раскрытых данных относилась к каждому человеку. Это общее число затронутых людей, о котором сообщили федеральному регулятору, а не количество файлов, почтовых учётных записей или уникальных полей данных. Две учётные записи сотрудников характеризуют точки доступа в рамках инцидента, и их нельзя путать с числом пострадавших.

Поскольку портал HHS также содержит сведения о менее масштабном инциденте Saint Anthony, связанном с электронной почтой и заявленном в 2025 году, проверка на дублирование не ограничивалась названием организации. Эту запись отличает совокупность признаков: дата доступа 27 февраля, уведомление 6 марта 2026 года и масштаб в 146 108 человек. Данные отдельных строк федерального реестра не суммируются, а возможное совпадение затронутых людей в разных инцидентах не рассчитывается, поскольку оно неизвестно.

На момент уведомления больница сообщила, что ей не известно о доказательствах неправомерного использования информации, кражи личности или мошенничества. Тем не менее она рекомендовала затронутым людям регулярно проверять выписки по финансовым счетам, кредитные отчёты и пояснения страховщика о покрытии медицинских услуг. Если вы обнаружите незнакомую услугу, заявление на страховое возмещение или платёж, уточните сведения у соответствующего поставщика услуг или страховщика через известный официальный канал связи.

Неожиданные ссылки, запросы на оплату и сообщения с просьбой подтвердить личность, отправленные от имени Saint Anthony, требуют особого внимания: сведения об инциденте могут использоваться для целевого фишинга. Получателям уведомлений следует ориентироваться на сведения о том, какие именно их данные затронуты, и официальные контакты, указанные в полученном по почте письме. LeakData не публикует украденные файлы пациентов и не выполняет поиск по ним; сервис предоставляет только проверенные метаданные об инциденте, источники и практические рекомендации по дальнейшим действиям.