Denton County MHMR Center 2024年数据泄露事件

主要证据是该中心自有域名上的数据安全通知及其链接的初始通知PDF。网页通知于2025年12月30日更新，其中指出，网络上的信息在2024年12月24日至12月25日期间曾被未经授权的一方访问。这一调查结果确认，受保护数据已进入未经授权访问的范围，而不只是表明发生了服务中断或无法解释的活动。

HHS OCR的记录将Denton MHMR Center归类为医疗服务提供者，将事件归类为黑客攻击/IT事件，并将信息所在位置列为网络服务器；记录报告有108,967人受到影响。The HIPAA Journal独立比对了官方通知、联邦记录及更新后的数据字段清单。这3个来源在涉事机构、访问时段及影响范围方面相互一致。

该中心在2024年12月24日或前后发现异常网络活动，采取措施保护网络环境，并与第三方专家共同展开调查。审查确定，未经授权的一方仅在12月24日至12月25日这一有限时段内能够访问该网络。事件日期依据的是公开来源中能够核实的最早技术活动。

该机构于2025年2月21日发布首次替代通知时，对文件及受影响人群的审查仍在进行。该机构于10月10日确定了可能涉及的数据项目的详细范围，于11月5日向HHS OCR报告了事件，随后通知了各州总检察长。网页通知于12月30日更新，加入了信用监测和身份保护服务的相关信息。

当前的官方清单包括姓名、地址、患者识别编号、出生日期、诊断、病史、病历编号、治疗信息、实验室信息、主治医生姓名、用药、疫苗接种、医疗保险信息及生物识别标识符。未经核实的受影响人数、数据字段及威胁行为者的说法，不纳入本事件公开确认的范围。

2月发布的PDF是在审查完成之前公布的，其中还将社会保障号码和银行账户号码列为可能涉及的字段。12月更新的网页提供了已完成分析的详细结果，没有再次列出这两项。

官方来源公布的受影响人数或记录数量，代表的是报告中所述的事件影响范围，并不意味着每个人都涉及所有已披露的数据类别。The HIPAA Journal指出，受影响人群为现有及既往患者。该数字统计的是通知范围内的个人，而非被复制的文件、行或字段；一个人可能涉及多种类型的信息。

官方文本确认部分信息曾被访问，但没有表示文件被移走、公开发布或出售。未经核实的受影响人数、数据字段及威胁行为者的说法，不纳入本事件公开确认的范围。同样，官方文本也没有表示列出的每一类数据都涉及全部108,967人。

该中心在发现异常活动后采取措施保护网络，并聘请专家开展调查。随后，该中心与第三方网络安全专家合作，实施额外的网络保护措施，同时审查并完善了数据保护政策和流程。初始通知还表示，已通知执法部门。

更新后的通知指出，该中心向可能受到影响的个人提供免费的信用监测和身份保护服务。在发出通知时，该中心表示，没有证据表明信息因本次事件而遭到滥用。未观察到滥用，并不意味着敏感健康信息及生物识别信息所带来的长期风险已消除。

收到通知的人可拨打该中心的专用援助热线，确认是否符合所提供的信用监测和身份保护服务的使用资格，以及登记截止日期。应定期检查信用报告、财务对账单及医疗保险赔付说明，留意不熟悉的账户、交易、医生、实验室服务或保险理赔。

如果出现不熟悉的诊疗、处方、疫苗接种或保险记录，请通过已知的官方渠道联系医疗服务提供者和保险公司。由于生物识别数据无法像密码一样更改，对于意料之外的身份验证请求，应格外谨慎。