AdaptHealth 2026 年数据泄露

AdaptHealth 确认的三类主要数据是个人身份识别信息、受保护的健康信息，以及所存储的与保险结算相关的密码文件。PII 和 PHI 都是宽泛的数据分类；公司尚未说明其中包含哪些具体字段，例如姓名、出生日期、地址、诊断、处方或保险号码。

公司明确表示，受影响的系统不收集社会安全号码，相关系统也不存储银行账户或支付卡信息。SSNs、信用卡、银行账户和支付数据并未被列为遭到泄露的数据类别。虽然已确认密码文件与保险结算有关，但 AdaptHealth 未披露其格式、加密状态、数据是否为最新，或涉及的账户数量。

根据向 SEC 提交的报告，攻击始于社会工程手段，导致与第三方承包商关联的一个用户会话遭到入侵。这一描述并不能证明攻击者利用了软件漏洞，也不能证明 AdaptHealth 的整个网络遭到入侵。未经授权的一方访问了部分基于云的业务应用，但公司没有说明最初的访问权限是通过电子邮件、电话、虚假登录页面，还是其他社会工程手段获取的。

被访问的环境包括内部患者管理系统、文档存储平台和部分外部电子健康记录门户。这份清单并不能证明每个平台中的所有记录都被窃取并转出。AdaptHealth 表示，仍在确定受影响数据集的范围。

威胁行为者于2026年6月15日通知 AdaptHealth，称已从其系统中窃取数据。6月27日，公司根据面临风险的数据的性质及潜在数量，认定这是一起重大事件，并于7月2日提交了 Form 8-K 报告。最初获得访问权限的确切日期，以及遭入侵会话的持续时间，均未披露。

这一重大性评估表明，可能涉及的数据量较大，但报告没有提供人数、文件数或记录数。该公司未公布可核实的受影响人数或记录总数。未披露数量并不意味着事件没有造成影响，而是说明公开来源无法提供可靠的总数。如果后续患者通知或医疗监管机构的记录公布了可靠数字，可以更新相应数量；现阶段，将数量标为未知是最准确、最审慎的做法。

发现攻击后，AdaptHealth 禁用了遭入侵的用户账户，重置了受影响的凭据，并实施了额外的访问控制措施。公司表示，事件已得到控制，外部取证团队正在协助开展后续调查，同时已采取措施降低被窃取数据遭到传播的风险。这些是公司披露的具体措施；本记录不添加未有公开记录的技术变更。

截至报告提交日期，这起事件尚未对 AdaptHealth 的运营产生重大影响，也未中断其为患者提供服务的能力。不过，公司表示，尚无法确定事件应对、法律、监管、通知、患者、声誉及财务方面的全部影响。网络安全保险可能覆盖部分损失，但保险无法消除信息被盗带来的隐私和账户安全后果。

受保护的健康信息具有敏感性，因为它可能揭示个人与医疗服务提供方的关系或其医疗状况。如果与保险结算相关的密码文件内容仍然有效且可还原，就可能带来账户被访问或欺诈的风险。由于具体字段尚未披露，读者不应假定每位患者都泄露了相同的信息。应根据每个人最终收到的通知中列明的具体数据评估风险。

收到通知的患者，应自行核实以 AdaptHealth 或保险公司名义意外发来的账单、门户登录链接、密码重置信息或健康信息确认请求。其他账户中重复使用或类似的密码应予以更改，并应在支持的情况下启用多因素身份验证。受影响系统中没有 SSNs 和支付卡数据，并不意味着不存在网络钓鱼和医疗隐私风险。

该公司未公布可核实的受影响人数或记录总数。未披露数量并不意味着事件没有造成影响，而是说明公开来源无法提供可靠的总数。AdaptHealth 的总体患者群体、设备销量及合作伙伴的客户群，并不等同于此次泄露的影响范围。所列数据类别是向 SEC 提交的报告中确认被窃取并转出的宽泛类别，并不表示每条记录都包含每一个字段。

已核实的结论是，攻击者通过社会工程手段入侵了第三方承包商的用户会话，进而从 AdaptHealth 的部分云应用和电子健康记录门户中窃取了 PII、PHI 及保险结算密码文件。事件已得到控制，未报告重大服务中断，但受影响数量和具体字段仍有待调查确定。