Утечка данных VITAS Hospice Services в 2025 году

Основной источник, уведомление об утечке данных на четырнадцати страницах, которое VITAS Hospice Services направила пострадавшим. В нём прямо описаны дата обнаружения инцидента, скомпрометированная учётная запись поставщика, период доступа, скачивание данных, расследование, меры по усилению безопасности и предоставление защитных услуг на двадцать четыре месяца.

Второй источник (портал утечек данных HHS OCR, который подтверждает указанное в федеральном реестре общее число пострадавших) 319 177 человек, и классификацию инцидента. Третий источник, публикация SecurityWeek от 9 декабря 2025 года, в которой независимо описаны масштаб инцидента, способ доступа и скачивание данных пациентов на основании уведомления VITAS и записи в федеральном реестре. HIPAA Journal подтверждает ту же хронологию и категории данных.

Постороннее лицо скомпрометировало учётную запись поставщика VITAS и использовало её для проникновения в некоторые системы VITAS. Организация обнаружила инцидент 24 октября, а компьютерно-техническое расследование установило, что несанкционированный доступ осуществлялся примерно с 21 сентября по 27 октября. В этот период сведения о некоторых нынешних и бывших пациентах просматривались и скачивались.

После обнаружения инцидента VITAS приняла меры для защиты своих систем, начала внутреннее расследование и привлекла внешних экспертов. Указание на то, что доступ завершился примерно через три дня после обнаружения, основано на хронологии, установленной по итогам компьютерно-технического расследования. Дата инцидента определяется по самой ранней технической активности, которую можно подтвердить по общедоступным источникам.

Набор данных различался для разных людей и мог включать имена, адреса, номера телефонов, даты рождения, номера социального страхования, номера водительских удостоверений, контактные данные ближайших родственников, диагнозы, лекарства, результаты лабораторных исследований, сведения о состоянии здоровья, лечении и медицинском страховании, а также другие персональные данные. В совокупности это особо конфиденциальные сведения, которые могут быть использованы для мошенничества с чужими персональными данными и в медицинской сфере.

VITAS не утверждала, что все перечисленные поля присутствовали в данных каждого из 319 177 пострадавших. Скачивание данных подтверждено письмом компании, однако источники не подтверждают их публикацию, продажу или передачу какой-либо названной группировке, использующей программы-вымогатели.

Опубликованное официальным источником число пострадавших людей или записей отражает заявленный масштаб инцидента. Оно не означает, что каждая из раскрытых категорий данных относилась к каждому человеку. SecurityWeek и другие издания, посвящённые безопасности в здравоохранении, приводят то же общее число из федерального реестра. Этот показатель учитывает людей, подлежащих уведомлению, а не файлы, обращения за хосписной помощью, рецепты, результаты лабораторных исследований или отдельные элементы данных.

VITAS Hospice Services входит в общенациональную сеть хосписной и паллиативной помощи VITAS Healthcare. Инцидент затронул сведения о нынешних и бывших пациентах, однако численность каждой из этих групп и число пострадавших в разбивке по категориям скомпрометированных данных не раскрывались, поэтому в этой записи общий показатель не разбивается на отдельные значения.

VITAS сообщила, что защитила свои системы, начала внутреннее расследование, сотрудничала с ведущей компанией в области кибербезопасности и уведомила правоохранительные органы. Организация также пересмотрела и усилила контроль за поставщиками и процедуры защиты данных, чтобы снизить риск аналогичного инцидента.

На момент выпуска письма VITAS не было известно о неправомерном использовании персональных данных. Тем не менее пострадавшим предоставили двадцать четыре месяца бесплатного мониторинга кредитной истории, защиты от кражи личных данных и мониторинга медицинских данных через Epiq. Пакет включает помощь в устранении последствий кражи личности, помощь в блокировке доступа к кредитной истории и уведомления о некоторых признаках раскрытия идентификационных данных в медицинской сфере.

Если вы получили уведомление, активируйте услуги Epiq в течение указанного в письме срока регистрации. Регулярно проверяйте кредитные отчёты, сведения об изменении адреса, выписки страховой компании с разъяснениями о покрытии медицинских услуг и историю оказанных медицинских услуг на наличие незнакомых счетов или действий. О подозрительной записи следует сообщить соответствующей организации через её официальный канал связи.

В письме VITAS прямо говорится, что организация не будет отправлять электронные сообщения об этом инциденте, и содержится просьба не передавать персональные данные в электронном виде. Не открывайте ссылки в неожиданных сообщениях, отправители которых представляются VITAS, Epiq, страховой компанией или поставщиком медицинских услуг; сначала свяжитесь с организацией по проверенному номеру телефона. Если вы получили подозрительное сообщение или заметили подозрительное событие в аккаунте, уточните его подлинность через актуальный официальный канал связи организации, не используя ссылки из сообщения.