Утечка данных UI Community HomeCare и UI Health Care в 2025 году

Основной источник, публичное уведомление University of Iowa Health Care от 29 августа 2025 года. В нём говорится о несанкционированном доступе к системе UI Community HomeCare и прямо указано, что киберпреступник мог просматривать файлы и делать их копии. Эта формулировка подтверждает получение данных, а не просто возможность доступа к информации.

На федеральном портале утечек HHS OCR указаны 109 029 человек для University of Iowa Community Home Care и 101 875, для University of Iowa Health Care. В обеих записях совпадают дата сообщения об инциденте, тип инцидента и место хранения информации: 29 августа 2025 года, взлом/IT-инцидент и сетевой сервер. HIPAA Journal независимо рассмотрел объявление и сообщил об одном инциденте, затронувшем около 211 000 человек.

3 июля UI Community HomeCare обнаружила, что кто-то получил несанкционированный доступ к её компьютерной системе. Организация отключила серверы, привлекла специалистов по кибербезопасности и безопасно восстановила работу систем в течение одного рабочего дня. Дата инцидента определена по самой ранней технической активности, которую можно подтвердить на основании общедоступных источников.

Компьютерно-техническая экспертиза установила, что злоумышленник не только просмотрел некоторые файлы, но и скопировал их. У UI Community HomeCare и UI Health Care были отдельные операционные системы, электронные медицинские карты и ИТ-службы, однако в силу исторически сложившихся связей у них были общие пациенты, сотрудники и файлы данных. Поэтому инцидент затронул и группу файлов UI Health Care, хранившихся в инфраструктуре связанной организации.

В официальном уведомлении среди возможных полей перечислены имена, даты рождения, адреса, номера телефонов, номера медицинских карт, сведения о поставщиках медицинских услуг, даты оказания услуг, информация о медицинском страховании, номера социального страхования и типы посещений. Эти сведения отнесены к более широким категориям персональной информации и защищённой медицинской информации. Набор данных различался для каждого человека, поэтому нельзя утверждать, что какое-либо из перечисленных полей присутствовало у всех затронутых людей.

В разделе часто задаваемых вопросов к уведомлению говорится, что для некоторых групп получателей уведомлений не было обнаружено признаков того, что в затронутые данные входили номера социального страхования. При этом в основном публичном уведомлении это поле указано среди возможных элементов. Наличие не упомянутых в уведомлении данных, таких как диагнозы, рецепты, платёжные карты или пароли, не предполагается.

Официальное расследование подтвердило, что несанкционированного доступа к системе электронных медицинских карт UI Health Care не было. Это ограничение не умаляет значимости инцидента: из общих файлов всё же были скопированы сведения о личности, контактные и страховые данные, а также сведения о том, у каких поставщиков человек получал медицинскую помощь. Эта запись описывает только подтверждённый объём затронутых файлов и не утверждает, что вся клиническая система была скомпрометирована.

Организация обратилась в правоохранительные органы, внедрила новые средства мониторинга, обновила встроенное программное обеспечение, сменила пароли и удалила файлы с затронутого оборудования. Она сообщила, что к моменту отправки уведомлений признаков неправомерного использования данных обнаружено не было. Это не отменяет подтверждённого факта получения данных злоумышленником и не исключает будущего риска мошенничества с использованием чужой личности, в сфере страхования или медицинского обслуживания.

В официальном уведомлении общее число затронутых людей округлено до приблизительно 211 000. HHS OCR публикует сведения об одном и том же инциденте 3 июля в двух записях по связанным организациям: 109 029 и 101 875.

Эти две записи HHS не представлены как отдельные атаки, поскольку дата, инфраструктура, день отправки уведомлений и официальное описание указывают на одно событие. В публичных материалах не уточняется, есть ли люди, учтённые в обеих федеральных записях. Поскольку HHS указывает число затронутых людей отдельно для каждой организации, сумма этих чисел является наиболее обоснованным из доступных точных показателей. Метод расчёта и неопределённость отражены в примечаниях к источникам.

UI Health Care и UI Community HomeCare отправили письма затронутым людям 29 августа 2025 года. Организация сообщила, что не предлагает бесплатный мониторинг кредитной истории, поскольку на момент уведомления не обнаружила признаков неправомерного использования данных. Получателям следует ориентироваться на поля, указанные в их собственном письме, и регулярно проверять выписки по счетам, кредитные отчёты и пояснения страховщика о покрытии медицинских услуг.

Если вы заметите незнакомую медицинскую услугу, заявление на страховую выплату, новый кредитный счёт или сообщение о проверке личности, свяжитесь с соответствующей организацией по известному вам официальному каналу. Будьте особенно осторожны с неожиданными звонками или ссылками, в которых используются названия затронутых учреждений.