Coastal Carolina Health Care 2025年数据泄露事件

主要证据是Coastal Carolina Health Care的法律顾问于2026年3月24日发给新罕布什尔州总检察长的通知。通知称，CCHC于2025年3月28日发现异常活动，导致部分系统无法正常访问，随后与一家独立网络安全公司展开调查。调查并非仅发现信息可能被访问，而是确认部分信息已被未经授权访问并获取。

HHS OCR记录将该机构列为医疗服务提供者，将事件归类为黑客攻击/IT事件，并将信息所在位置标为网络服务器。记录中的110,304人总数提供了州级函件未说明的全国受影响范围。SecurityWeek也通过对照HHS公布的总数和州级备案文件，独立报道了CCHC事件。

调查发现，一名身份不明的行为者在2025年3月21日至3月27日期间访问并获取了个人信息和健康信息。事件日期依据公开来源中可核实的最早技术活动确定。CCHC于3月28日发现异常活动后，采取措施保护网络，并启动取证调查，以确定事件的性质。

随后，该机构使用第三方审查服务，确定受影响的数据集及需要通知的人群。CCHC于2026年2月26日确认了影响范围，并获得了足够的联系信息。消费者通知信于2026年3月23日寄出；这段约1年的间隔用于文件和身份审查，并不代表该行为者持续访问的时长。

监管函件将受影响的数据描述为个人信息和受保护的健康信息。对于新罕布什尔州居民，函件明确指出，姓名可能与社会保障号码一同出现。CCHC还向社会保障号码或驾驶执照及州身份证件号码受到影响的人提供了专门的身份保护服务。

未经核实的人数、数据字段及威胁行为者的说法，不纳入此次事件的公开范围。也不能据此假定全部110,304人都涉及所有字段。

官方文本指出，敏感信息已被访问并获取，而不只是可能被查看。这一调查结果提供了有力的取证依据，表明数据可能落入该行为者的掌控，也说明这并非单纯的系统中断。不过，备案文件并未确认文件曾被公开发布，也未确认所有字段都被出售。

发出通知时，CCHC表示，没有证据表明此次事件涉及的数据已被滥用。尚无已知滥用行为，并不能消除身份信息和健康信息被获取后可能带来的未来风险。未经核实的人数、数据字段及威胁行为者的说法，不纳入此次事件的公开范围。

官方来源公布的受影响人数或记录数量，代表此次事件报告的影响范围。这并不意味着每个被披露的数据类别都涉及每一名受影响者。州级监管函件中提到的34名新罕布什尔州居民，只是全国总数中的一小部分，并非另一起事件，也不是额外的受害者人数。这一州内人数不应再加到全国总数上。

受影响人数总计并不等于被获取的文件数或数据字段数。社会保障号码、驾驶执照号码及州身份证件号码可能仅涉及相应的部分人群，而这些人群的具体规模并未公开披露。

CCHC通过Cyberscout，向社会保障号码或驾驶执照及州身份证件号码受到影响的人提供了12个月的免费信用监测、身份恢复服务和身份盗用保险。收到通知的人应遵循信中列明的截止日期和激活说明。该机构还通知了FBI，并实施了额外的安全控制措施。

应定期检查信用报告、金融账户及医疗保险理赔明细，留意不熟悉的交易、服务或理赔。对于以CCHC或医疗服务提供者名义发来的、出乎意料的付款或验证消息，应通过已知的官方渠道核实。