Нарушение безопасности данных в Washington Department of Social and Health Services в 2026 году

Основной источник, трёхстраничное уведомление о нарушении безопасности данных, опубликованное на официальном сайте DSHS. В письме ведомства указаны месяц обнаружения инцидента, сведения о доступе бывшего сотрудника, поля данных, которые он мог просматривать, и медицинские сведения, доступ к которым не был выявлен. Также описаны прекращение доступа к системам, сотрудничество с правоохранительными органами и рекомендуемые действия для затронутых лиц.

Второй источник, портал HHS OCR с информацией о нарушениях безопасности данных, который подтверждает заявленный масштаб в 8 600 человек и классификацию инцидента на федеральном уровне. Третий источник, публикация HIPAA Journal от 30 июня 2026 года. Опираясь на официальное уведомление, издание отдельно описывает доступ сотрудника к данным, категории этих данных, прекращение его работы в ведомстве и меры, принятые DSHS.

В марте DSHS обнаружило, что сотрудник обращался к персональным данным во внутренней системе данных клиентов по причинам, не связанным с его должностными обязанностями. Ведомство немедленно прекратило его доступ к системам DSHS, проверило историю его действий и обращений к данным клиентов, а также сотрудничало с правоохранительными органами штата и местными правоохранительными органами в рамках продолжающегося расследования.

В публичном уведомлении не указаны первый и последний дни несанкционированного просмотра данных, а также его продолжительность. Указание месяца нельзя трактовать как точную дату доступа или обнаружения инцидента.

Согласно результатам проверки DSHS, бывший сотрудник мог просматривать имя клиента, дату рождения, номер социального страхования, номер клиента DSHS и общую категорию полученных услуг. Это конфиденциальные персональные данные, которые могут быть использованы для присвоения чужой личности, попыток захвата аккаунтов или целевой социальной инженерии.

Ведомство отдельно заявило, что не обнаружило доказательств доступа сотрудника к конкретным медицинским сведениям, таким как диагнозы, результаты анализов, лечение, заявления на страховое возмещение по медицинской страховке или записи в медицинской карте. Поэтому в этой записи указана общая категория услуг, но не добавлены сведения о нераскрытых диагнозах или подробные медицинские данные. Скачивание, передача файлов за пределы ведомства или их публичное раскрытие не подтверждены.

Число затронутых лиц или записей, опубликованное официальным источником, отражает заявленный масштаб инцидента. Оно не означает, что каждая из указанных категорий данных относилась к каждому человеку. DSHS сообщило, что из осторожности связалось со всеми клиентами, чьи сведения сотрудник мог просматривать, даже если отдельные случаи доступа могли быть связаны с работой.

Общее число отражает количество людей, которых уведомили, а не количество подтверждённых случаев неправомерного использования данных. Источники не утверждают, что у каждого человека были затронуты все перечисленные поля данных, и не устанавливают, что сведения обо всех 8 600 людях действительно просматривались. Поэтому эта запись не приводит численность подгрупп по отдельным полям данных и не прибавляет количество документов, строк или событий доступа к числу людей.

Сразу после выявления этих действий ведомство прекратило доступ сотрудника к системам DSHS и проверило историю его действий. DSHS также сообщило, что внедряет дополнительные меры защиты, пересматривает политики и процедуры обеспечения конфиденциальности и безопасности данных и содействует продолжающемуся расследованию правоохранительных органов штата и местных правоохранительных органов.

HIPAA Journal подтверждает, что этот человек больше не работает в DSHS, однако источники не уточняют, был ли он уволен из-за инцидента или покинул ведомство по другим обстоятельствам. Инцидент не связан с внешним злоумышленником, вредоносным ПО, группировкой, использующей программы-вымогатели, или сайтом публикации утечек.

Если вы получили уведомление, регулярно проверяйте действия в аккаунте DSHS, выписки по банковским счетам и платёжным картам, а также кредитные отчёты на предмет незнакомых операций или событий. При появлении подозрительной активности свяжитесь с DSHS через официальный канал. Также может быть уместно обратиться в Федеральную торговую комиссию, к генеральному прокурору штата Вашингтон и в местные правоохранительные органы.

Сочетание номера социального страхования и даты рождения требует длительного внимания. Не сообщайте номера клиентов, пароли или сведения, удостоверяющие личность, в ответ на неожиданные звонки, сообщения или переходя по ссылкам от тех, кто выдаёт себя за DSHS. Начинайте общение с ведомством по проверенному номеру из уведомления. Если вы получили подозрительное сообщение или заметили подозрительное событие в аккаунте, проверьте его через актуальный официальный канал связи организации, не используя ссылки из сообщения.