Утечка данных Waveny LifeCare Network в 2025 году

Первичный источник, «Уведомление об инциденте безопасности данных», опубликованное Waveny на собственном домене. В этом документе организация прямо описывает сбой в работе сети примерно 28 мая, установленный факт несанкционированного доступа посторонних к определённым данным, проверяемые категории данных, свою линию поддержки и меры по усилению безопасности, принятые после инцидента.

Открытый портал HHS OCR содержит запись об утечке данных в сфере здравоохранения, связанной с Waveny LifeCare Network, с указанием 27 113 пострадавших. Материалы уведомления потребителей в Массачусетсе подтверждают сведения о бесплатной помощи в мониторинге, а Claim Depot объединяет сведения из официальных источников организации и штата и обобщает хронологию и масштаб инцидента. Источники согласуются в отношении организации, даты инцидента, типов данных и общего числа пострадавших.

28 мая или примерно в это время в работе сетевых систем Waveny произошёл сбой. Организация немедленно приняла внутренние меры реагирования, уведомила правоохранительные органы и привлекла ведущих специалистов по кибербезопасности для выяснения характера инцидента. Согласно официальному уведомлению, расследование установило, что во время инцидента посторонние получили несанкционированный доступ к определённым данным.

Один из вторичных источников связывает инцидент с использованием программ-вымогателей и заявлением группировки Qilin о том, что она берёт на себя ответственность. В первичном уведомлении Waveny не указано, кто стоит за инцидентом, не названы способ первоначального проникновения и вредоносное ПО, а также не подтверждается, что данные действительно были опубликованы в даркнете.

К потенциально затронутым сведениям относятся имена и фамилии вместе с адресами, даты рождения, номера телефонов, адреса электронной почты, номера социального страхования и номера водительских удостоверений. В числе данных также могли быть фотографии лиц. Поскольку набор сведений различался для разных людей, этот список объединяет все возможные поля, а не описывает полный профиль, хранившийся для каждого человека.

Сочетание имени, даты рождения и SSN создаёт значительный риск мошенничества с открытием новых счетов и неправомерного использования персональных данных в налоговой сфере. Адреса электронной почты, номера телефонов и почтовые адреса могут использоваться для убедительных попыток фишинга от имени Waveny или другой медицинской организации. Фотография лица не обязательно является биометрическим шаблоном, и в официальном тексте отдельно не подтверждается, что были затронуты шаблоны распознавания лиц.

В официальном уведомлении перечислены даты поступления и выписки, дата смерти, номера медицинских карт, номера лицевых счетов пациентов, результаты лабораторных анализов, результаты медицинской визуализации и электронные медицинские карты. В число потенциально затронутых сведений также входили номера счетов или полисов медицинского страхования и информация по Medicare или Medicaid. Эти данные напрямую связывают человека с его историей лечения.

Медицинские и страховые идентификаторы могут использоваться для мошеннического получения услуг, неправомерного использования чужих персональных данных в сфере здравоохранения и адресных мошеннических схем. Пациентам следует проверять медицинские порталы, сводки выставленных счетов и страховые выписки с разъяснением покрытия расходов: обращать внимание на непонятные записи об оказанных услугах, незнакомые медицинские организации или специалистов и неизвестные требования о страховом возмещении. О неожиданных изменениях в медицинских записях следует сообщать непосредственно соответствующему медицинскому специалисту или организации.

В число потенциально затронутых полей также входят платёжная информация и номера финансовых счетов. В официальном тексте не поясняется, подразумевается ли под платёжной информацией номер карты, запись о транзакции или другое финансовое поле; название банка и код доступа к счёту также не опубликованы.

Опубликованное официальным источником количество пострадавших людей или записей отражает заявленный масштаб инцидента. Это не означает, что каждая из указанных категорий данных относилась к каждому человеку. Claim Depot приводит примеры по отдельным штатам: 174 жителя Массачусетса, 19 жителей Мэна и девять жителей Вермонта. Эти группы не прибавляются к общенациональному итогу.

Waveny приняла внутренние меры реагирования, уведомила правоохранительные органы, провела расследование с участием специалистов по кибербезопасности и предприняла дополнительные шаги для усиления безопасности систем. В материалах уведомлений на уровне штатов получателям, соответствующим условиям участия, предлагались 24 месяца мониторинга кредитной истории и защиты от неправомерного использования персональных данных через Cyberscout. Была организована специальная телефонная линия 833-353-3395, работающая по будним дням с 9:00 утра до 9:00 вечера по восточному времени.

Получателям уведомлений следует регулярно проверять кредитные отчёты, финансовые счета, счета за медицинские услуги и страховые выписки с разъяснением покрытия расходов. Если были затронуты SSN или финансовая информация, целесообразными мерами могут быть блокировка доступа к кредитной истории, установка предупреждения о мошенничестве и получение IRS Identity Protection PIN. Не следует сообщать пароли, SSN, номера страховок или коды подтверждения в ответ на неожиданные сообщения, отправители которых заявляют, что представляют Waveny.