Утечка данных Unlimited Technology Systems в 2025 году

Основной источник подтверждения, письмо Unlimited Technology Systems потребителям, опубликованное в материалах, поданных в офис генерального прокурора штата Айова. В нём от имени компании напрямую изложены сведения об обнаружении инцидента, периоде получения копий 5–10 октября, реагировании с привлечением правоохранительных органов и специалистов по цифровой криминалистике, подтверждённых категориях данных, данных, которые прямо указаны как не затронутые инцидентом, услугах Kroll сроком на два года и линии помощи.

Отдельное официальное свидетельство уведомления об инциденте содержится в записи генерального прокурора штата Калифорния. В записи генерального прокурора штата Техас BR-0005193 сообщается о 3 836 316 затронутых людях по всей стране, включая 277 364 жителей Техаса. Указанные для Южной Каролины 148 342 человека и для Массачусетса 2 223 человека входят в это общенациональное число.

Unlimited обнаружила несанкционированную активность в своём коммерческом центре обработки данных 19 октября. Компания привлекла ведущую фирму, специализирующуюся на расследовании киберинцидентов, уведомила правоохранительные органы и изучила затронутые данные. По итогам расследования было установлено, что в период с 5 по 10 октября лицо, не имевшее разрешения на доступ, могло получить копию части персональных данных.

В общедоступном письме не указаны способ первоначального доступа, лицо, совершившее эти действия, вредоносное ПО, требование выкупа или факт публикации данных. Формулировка «могло получить копию» подтверждает возможность извлечения данных, но не доказывает, что для каждого человека были скопированы все поля. Поскольку Unlimited обрабатывает информацию для поставщиков медицинских услуг, некоторые люди могут быть затронуты, даже если у них нет прямых отношений с компанией.

В зависимости от человека данные могли включать имена, номера социального страхования, даты рождения, адреса электронной почты, почтовые адреса, номера телефонов и другие демографические сведения. Среди сканированных документов могли быть водительские удостоверения или другие государственные удостоверения личности, страховые карты и анкеты, заполняемые пациентами при обращении за медицинской помощью. Не следует предполагать, что для каждого человека присутствовали все поля: конкретный объём затронутых данных указан в индивидуальных письмах.

Сочетание SSN, даты рождения, контактных данных и изображений удостоверений личности создаёт долгосрочный риск мошеннического оформления кредитов, использования чужих данных в налоговом мошенничестве, выдачи себя за другого человека с помощью документов и целевой социальной инженерии. Получателям уведомлений стоит рассмотреть блокировку доступа к кредитной истории, установку предупреждения о мошенничестве и получение защитного кода IRS Identity Protection PIN. Не следует передавать изображения удостоверений личности, пароли или коды подтверждения в ответ на сообщения, отправители которых представляются медицинской организацией или Unlimited.

Данные о медицинском страховании и остатках по счетам пациентов могли включать номера страховых полисов, сведения о заявлениях на страховое возмещение или предусмотренных полисом выплатах и услугах, а также остатки по счетам пациентов. Медицинские данные включали номера медицинских карт, даты оказания услуг и диагнозы. В перечне сканированных документов также были указаны страховые карты и анкеты, заполняемые при обращении за медицинской помощью. Эти сведения могут использоваться для получения медицинских услуг под чужим именем, подачи мошеннических заявлений на страховое возмещение или обмана с использованием подлинных сведений о лечении.

Рекомендуется проверять пояснения страховщика о покрытии медицинских расходов, порталы для пациентов и учётные записи в медицинских организациях на наличие незнакомых услуг, диагнозов, заявлений на страховое возмещение, остатков по счетам или изменений контактных данных. Подозрительные записи следует проверять непосредственно у медицинской организации и страховщика. Поскольку Unlimited обслуживает нескольких заказчиков из сферы здравоохранения, получателю, которому название поставщика программного обеспечения незнакомо, следует через официальный канал проверить указанную в уведомлении связь с медицинской организацией.

В официальном письме потребителям прямо сказано, что затронутые инцидентом данные не включали полные медицинские карты пациентов или результаты медицинской визуализации. Также исключена финансовая информация, в том числе данные кредитных карт и банковских счетов. Сведения об остатках по счетам пациентов не противоречат этому исключению: информация о задолженности или остатке может присутствовать, тогда как реквизиты карт и банковских счетов отсутствуют.

Общие рекомендации следить за выписками по банковским счетам и картам не доказывают, что эти данные были раскрыты. Ошибочное включение данных, которые источник прямо исключает, исказило бы как оценку рисков для пользователей, так и информацию в результатах поиска.

В записи генерального прокурора штата Техас BR-0005193 опубликовано точное общенациональное число затронутых людей: 3 836 316, включая 277 364 жителей Техаса. Указанные для Южной Каролины 148 342 человека и для Массачусетса 2 223 человека входят в это число и не были добавлены к нему отдельно.

Unlimited усилила меры безопасности, провела расследование с участием специалистов по цифровой криминалистике, уведомила правоохранительные органы и предложила людям, имеющим право на эту помощь, два года мониторинга использования персональных данных от Kroll. Пакет включает мониторинг кредитной истории в одном кредитном бюро, консультации по вопросам мошенничества и помощь в устранении последствий кражи персональных данных. С вопросами можно обращаться по номеру 844-576-3063 по будням с 9 утра до 6:30 вечера по восточному времени США (ET).