Concord Orthopaedics 2024年数据泄露事件

该机构的官方通知将 Concord Orthopaedics、第三方患者登记软件、2024年11月21日这一通知日期，以及可能受影响的数据类型关联到同一事件。HHS OCR 的记录也确认了涉事机构、受影响人数共计72,815人，以及2025年3月25日这一报告日期。

独立的事件评估将官方通知中的细节与监管记录中的72,815人这一总数关联到同一起数据泄露事件。公开来源未披露未经授权访问的确切开始或结束时间，因此，本文将11月21日视为该机构接到通知的日期，而非声称这是攻击发生的确切日期。

11月21日，Concord Orthopaedics 得知，一名未经授权的人员可能访问了第三方软件。该软件用于登记患者和拟就诊人员，并为其办理预约就诊签到。该机构随即禁用了访问权限，重置了软件密码，并聘请外部网络安全专家调查事件的性质。

调查发现，未经授权的一方访问了该软件，并可能查看或获取了其中存储的登记和预约就诊登记信息。调查未发现 Concord Orthopaedics 的内部环境或电子健康记录系统遭到入侵的证据；其电子健康记录系统运行在独立的应用程序中。

因个人情况不同，可能涉及的信息包括姓名、出生日期、社会保障号码、驾驶执照或州签发身份证件的号码，以及部分人员的身份证件图像。通报中列出的预约数据包括预约类型、医生姓名，以及预约的日期和地点。

医疗保险相关字段可能包括医疗保险计划受益人编号、医疗保险计划编号，以及参保资格信息。本记录未列入电子邮箱地址、密码、支付卡和银行账户信息，因为官方事件通知并未确认涉及这些字段。

身份识别号码与医疗预约及保险信息相结合，可能增加身份盗用、欺诈性保险索赔和定向诈骗的风险。社会保障号码和驾驶执照号码难以更换，因此，相关信息遭到滥用的情况可能在事件发生很久之后才显现。

掌握真实预约类型、医生姓名或保险信息的人，可能据此编造具有迷惑性的信息。掌握这些细节并不能证明来电者代表 Concord Orthopaedics、医生或保险公司；对于出乎意料的请求，应通过独立渠道核实。

Concord Orthopaedics 禁用了第三方软件的访问权限，重置了密码，与外部网络安全专家共同开展调查，并通知了联邦执法部门。该机构还表示，正在审查与第三方供应商有关的工作方式和政策。

受影响人员已收到通知，该机构也向符合条件的人员提供了身份保护服务。官方通知仅确认了涉及第三方登记软件的事件，未披露最初的访问方式、技术漏洞或确切的访问时间范围。

收到通知的人员应定期检查信用报告、金融账户和医疗保险说明文件，留意不熟悉的账户、交易、预约或索赔。发现可疑记录时，应向相关金融机构、医疗保险公司报告，并在必要时向有关部门报告。

不应在意料之外的电子邮件、消息或来电中提供社会保障号码、保险信息、密码或一次性验证码。对于声称来自 Concord Orthopaedics 的请求，应使用其官方网站上的联系方式进行核实，而不是使用消息中的链接或电话号码。