BAYADA Home Health Care 2026年数据泄露事件

有关此事件的主要来源是BAYADA发布的三页“近期数据隐私事件”通知，其官方网站提供了该通知的链接。通知直接说明了未经授权的一方访问系统的时间范围、受影响的系统和数据、调查的性质、初步确定的信息类别、向政府机构报告的情况，以及该机构建议采取的防护措施。

第二份官方来源是得克萨斯州总检察长的记录BR-0005185。该记录使用BAYADA Home Health Care, Inc.这一法定名称及其位于Pennsauken的地址，并公布了2月18日至3月2日的事件发生时间、全美550,164人的受影响总数、其中1,270名得克萨斯州居民、最终确定的信息类别，以及通过邮寄和网站向消费者发出通知的情况。机构名称、地址和事件时间范围完全一致，表明这两份来源描述的是同一起事件。

BAYADA表示，其于2026年3月2日首次知悉一起网络安全事件。随后开展的取证调查确定，未经授权的一方在2月18日至3月2日期间获得了对BAYADA部分系统和数据的访问权限。公开通知没有说明对方进入系统环境时所使用的账户、应用程序、漏洞或初始访问方式。

因此，不应推定此事件涉及勒索软件、网络钓鱼、凭据窃取或对某个特定软件漏洞的利用。BAYADA确认其系统和数据遭到未经授权的访问，但没有披露对方身份，也没有说明数据是否被传出、是否收到赎金要求，或确认数据已在网上公开。BAYADA表示，截至通知发布时，没有迹象表明发生了与此事件相关的身份盗用或欺诈行为；这一截至特定时间的观察结果并不排除后续风险。

BAYADA最初的公开通知称，受影响的数据可能包括姓名、出生日期、诊断信息及医疗或物理治疗信息、医疗服务提供者信息、健康保险计划信息、处方信息、入院和出院信息、残障信息以及社会安全号码。当时，该机构表示数据审查仍在进行中，不同人员涉及的数据字段可能有所不同。

得克萨斯州后来发布的条目将姓名、社会安全号码（SSNs）、驾驶证号码、财务信息、医疗信息和健康保险信息列为已确认的信息类别。综合两份来源来看，后续审查至少明确了部分人员所涉及的数据范围，但不应假定每个人都涉及某一数据字段。对于个人具体有哪些数据受到影响，其收到的通知信是最直接的信息来源。

得克萨斯州总检察长记录BR-0005185给出的全美受影响人数为550,164人，其中得克萨斯州为1,270人。得克萨斯州的人数已包含在全国总数中，不应重复相加。该门户中的条目显示发布日期为2026年7月21日，并公布了数据审查后确定的更完整受影响人数；BAYADA在最初的通知中曾表示，该项审查仍在进行。

由于第三方数据审查当时尚未完成，公司最初的公开通知没有提供受影响总人数。因此，应以后来得克萨斯州记录中的确切数字为准。此次事件与BAYADA此前披露的另一起事件不同：此前的事件涉及另一家供应商Doctor Alliance，发生于2025年10月31日至11月17日期间。两起事件的受影响人数不应合并计算。

BAYADA表示，其已启动事件响应规程，与第三方专家共同开展取证调查，并着手确认影响范围、保障系统安全。该机构已向相关政府机构报告此事，包括联邦执法机构和美国卫生与公众服务部，并表示正在审查现有防护措施、政策和流程，以加强保护。

最初的通知称，数据审查完成后将向相关个人发出通知；后来的得克萨斯州记录确认，已通过网站和美国邮政向消费者提供通知。公开通知没有提及具体的信用监测或身份保护服务安排。通知提供了援助电话1-800-305-3000，服务时间为每天美国东部时间上午8点至下午7点，并提供了BAYADA位于Pennsauken的隐私事务负责人的通信地址。

收到通知的人应以自己的通知信为准，确认哪些数据字段涉及本人，并检查健康保险理赔说明、患者门户、银行及银行卡交易记录和免费信用报告，留意不熟悉的交易或理赔申请。如果涉及社会安全号码（SSN）或驾驶证，可考虑免费冻结信用或设置欺诈警报；如果涉及金融账户信息，应通过已知的官方渠道联系相关机构。

对于突然收到的、以BAYADA、保险公司、银行或政府机构名义发来的消息，应自行核实其真实性。消息中包含真实的医疗信息，并不意味着它一定可信；不要透露密码、社会安全号码（SSN）、保险会员号码或一次性验证码。发现可疑的医疗理赔申请，应向保险公司报告；发现可疑的金融活动，应向相关金融机构报告；怀疑身份信息遭到冒用时，应通过IdentityTheft.gov报告，并在适当情况下向执法机构报案。