Devereux Foundation 2025年数据泄露事件

这起事件的主要信息来源是 Devereux 在其自有域名上发布的《数据事件通知》。该通知以机构名义发布，直接说明了发现日期、未经授权访问的时间段、文件被复制的情况、经审查的数据类别、向执法部门报案的情况，以及免费信用监测服务。

第二个官方来源是得克萨斯州总检察长的数据安全泄露记录 BR-0005199。该记录列明了 The Devereux Foundation 及其位于宾夕法尼亚州维拉诺瓦的地址，并公布了全美受影响人数86,958人、其中的得克萨斯州居民人数5,341人、通知方式和主要数据类别。两个来源记载的机构和事件起始日期一致。

Devereux 于11月9日在部分计算机网络系统中检测到可疑活动，随后开始隔离系统、评估网络安全，并调查事件的性质和范围。在第三方专家支持下开展的审查确定，有人在11月6日至11月9日期间访问了部分系统，并未经许可复制了文件。

此后，该机构进行了详细审查，以确定被复制的文件中是否包含敏感信息，以及这些信息涉及哪些人员。公开通知未说明最初的访问方式、被利用的漏洞、恶意软件、赎金要求或实施者身份。因此，尚未将这起事件归因于特定团体或攻击手法。

根据 Devereux 的官方通知，涉及的信息因人而异。可能涉及的字段包括姓名、出生日期、社会安全号码、驾驶执照号码或州身份证件号码、美国外国人登记号码、纳税人识别号码，以及数字签名或电子签名。

被复制的文件还可能包含金融账户信息、支付卡信息、医疗信息和医疗保险信息。通知并未表示每名受影响人员都涉及上述所有类别。官方事件通知未将密码、电子邮件内容和生物识别数据列为受影响类别，本记录也未将其纳入。

得克萨斯州总检察长的 BR-0005199 号记录给出的全美受影响人数确切总数为86,958人。同一记录另行列明了5,341名得克萨斯州居民。得克萨斯州人数已包含在全美总数中，并未在总数之外重复相加。

得克萨斯州门户网站将2025年11月6日记录为泄露开始日期，并称通知通过公司网站或专门网站发布，以及通过美国邮政寄送。Devereux 的通知指出，访问持续至11月9日，通知工作于2026年1月8日开始。这些来源中的不同日期字段被视为事件、审查和通知过程中的各个时间节点，而非合并为同一个日期。

Devereux 表示，已隔离系统，聘请第三方专家协助保障网络安全与运营，并向执法部门报告了该事件。该机构还审查了政策和程序，开始开展额外的员工培训，以降低类似事件再次发生的可能性，并通知了相关监管机构。

受影响人员可获得由 Experian 提供的免费信用监测服务。官方通知称，没有迹象表明这起事件导致了实际发生或未遂的身份盗用或欺诈。这一声明反映的是发布通知时的情况；由于文件被复制一事已得到确认，继续监测仍是审慎之举。

收到通知的人员应查看信中列明的数据类型，并且仅使用信中提供的经核实的代码注册 Experian 服务。应检查信用报告、银行和支付卡交易活动、医疗保险给付说明及医疗服务记录，留意不熟悉的账户、交易或服务。如果涉及社会安全号码，可考虑申请免费的信用冻结和欺诈警示。

对于突然收到的、声称代表 Devereux、Experian、医疗保险计划或金融机构的消息，不应按其要求提供密码、完整的身份证明号码或验证码，也不应付款。应改用已知的官方渠道，而不是点击消息中的链接。如有关于事件的问题，可拨打 Devereux 通知中列出的电话833-745-1528；个人收到的通知信是了解其具体涉及哪些数据字段的主要依据。