Clover Health 2026 年数据泄露事件

主要证据是 Clover Health Investments 通过 SEC EDGAR 系统发布的 Form 8-K 即时报告。这份由公司签署的文件直接说明了异常登录活动、事件响应措施、通过社会工程手段遭入侵的三个员工账户、这些账户的业务用途、可访问的数据大类，以及无法访问的系统。

这份 SEC 文件是官方一手资料，将7月4日列为最早的事件发生日期，并于2026年7月17日签署。Claim Depot 独立跟踪了这份公开文件，并概述了涉及的 PII 和 PHI 范围。

Clover Health 在部分信息系统中发现了异常登录活动。公司立即启动事件响应程序，与领先的第三方网络安全专家共同展开调查，采取措施遏制相关活动，并通知了执法部门。官方披露文件称，公司认为其迅速响应成功遏制并终止了未经授权的访问。

调查发现，一名威胁行为者利用社会工程手段访问了健康保险计划中三个非管理岗位员工的账户。公开文件没有说明所用手段是电话、电子邮件、虚假登录页面还是其他方式，也没有说明攻击者是否获取了密码、会话令牌或其他身份验证要素。

受影响的账户分配给了负责参保人就诊预约和面向经纪人的销售工作的员工。这一业务背景解释了这些账户为何能够访问部分参保人信息，但并不意味着每个账户都持有相同的记录或具有相同的权限级别。公司当时仍在调查被未经授权访问和获取的数据的具体性质、范围及规模。

8-K 报告还明确了一项重要限制：这些员工账户无法访问公司财务或理赔系统。因此，如果声称 Clover 的财务报表、公司银行业务数据或整个保险理赔数据库通过这些账户遭到暴露，将缺乏依据。

公司仅确认这些账户能够访问部分个人身份信息和受保护的健康信息。8-K 报告没有列出具体字段，例如姓名、地址、出生日期、社会保障号码、Medicare 标识符、诊断、治疗、处方或保单号码。

PII 和 PHI 是法律和业务层面的宽泛数据类别。账户能够访问这些类别的数据，并不能证明其中所有可能的字段都被查看或获取。Claim Depot 用一般性示例解释了这些类别，同时也指出，本次事件涉及的具体数据项尚未得到公开确认。

Clover Health 尚未公布全国范围内的受影响人数或通知接收人数。三个员工账户这一数量并不意味着只有三个人或三条记录受到影响；通过一个账户能够访问多少名参保人的信息，仍不明确。

根据提交文件时可获得的信息，公司表示，其不认为该事件已对其业务、财务状况或经营业绩造成重大影响，也不认为有合理理由预期其会造成重大影响。这是公司依据证券法作出的重大性评估，并不意味着参保人数据不敏感，也不意味着个人不存在任何风险。

Clover Health 启动了事件响应，与外部网络安全专家合作，通知了执法部门，遏制了未经授权的访问，并表示已采取措施进一步加固其 IT 环境。公司称，将继续调查事件的确切范围，评估监管和法律方面的通知要求，并根据调查结果向受影响的参保人发出必要通知。

Clover Health 参保人应留意官方渠道发布的通知，不应在回复意外收到的就诊预约或经纪人消息时提供密码、Medicare 详细信息、健康信息或验证码。参保人还可查看医疗服务门户中的活动记录和保险给付说明单，检查是否出现不熟悉的服务项目。