Erie Family Health Centers 2025年数据泄露事件

Erie于2026年1月27日发现部分网络系统可能遭到未经授权的访问，随后与外部专家共同展开调查。取证审查确认，其网络在12月10日至1月27日期间遭到未经授权的访问。该机构向执法部门报告了此次事件，对系统采取了安全措施，并审查了可能受到影响的数据。

HHS OCR将此次事件归类为“黑客攻击/IT事件”，将信息存储位置列为“网络服务器”，并将机构类型列为“医疗服务提供者”。HIPAA Journal对比了官方通知与联邦记录，印证了未经授权的访问时段、涉及570,000人的影响范围以及文件类别。

事件发生日期以公开来源中可核实的最早技术活动为依据。未经授权的第三方可能在网络中停留了约七周，Erie于1月27日发现并终止了其访问。发现日期与起始日期不同，标题中的年份依据的是2025年首次发生的访问。

审查文件内容后，该机构开始向受影响人员邮寄通知。HHS记录中的该条目注明的提交日期为2026年3月27日；HIPAA Journal于5月刊载了联邦记录中的总人数和披露的数据类别。Erie表示，已加强网络安全，以帮助防止类似事件再次发生，并在调查期间与执法部门合作。

可能涉及的身份信息字段包括姓名、实际地址、电话号码、电子邮箱地址和出生日期。更敏感的身份标识信息包括社会安全号码、驾驶执照号码或州身份证号码、纳税人识别号码以及护照号码。披露内容并未说明每个人的文件中都包含全部类别，因此，这份清单不能确定任何个人实际受到影响的信息范围。

这些字段单独使用或组合使用，都可能被用于欺诈性开户、税务欺诈和定向网络钓鱼。将联系方式与医疗背景信息结合，可能让冒充医疗机构的虚假消息更具迷惑性。来源未提及有哪个威胁团伙声称对此次事件负责。

可能涉及金融账户信息和支付卡信息。在线账户凭据、数字签名和生物识别数据也属于受影响文件中可能包含的数据类别。

密码可以更改，而数字签名和生物特征可能带来更长期的风险。通知中列有支付卡或金融账户信息的人员应及时报告不明交易；涉及在线账户凭据的人员应为各账户设置不同的密码，并启用多因素身份验证。这些预防措施并不意味着每位受影响人员的文件中都包含上述全部字段。

涉及的医疗信息包括治疗或诊断信息、处方信息、服务日期、患者及就诊标识符、医疗服务提供者姓名或名称、患者账户号码和病历号码。Medicare或Medicaid号码、健康保险信息及治疗费用信息也属于已披露的数据类别。这类数据可能带来医疗身份盗用、虚假理赔和隐私风险。

官方来源公布的受影响人数或记录数量，代表此次事件报告的影响范围，并不意味着每个人都涉及全部已披露的数据类别。该数值未按数据类别拆分，也不应分别套用于每个字段。

Erie为受影响人员提供了免费的信用监测和身份保护服务，并设立了专门的呼叫中心来解答疑问。收到通知的人员应按照信中的说明注册服务，检查信用报告、金融账户及支付卡的交易活动；如果涉及社会安全号码，还应考虑设置欺诈警示或安全冻结。

受影响人员还应检查健康保险费用说明、处方记录和患者账户，留意不熟悉的服务、医疗服务提供者、费用或理赔。如果突然收到以Erie名义提出的付款请求、索取密码的请求或身份验证请求，应通过已知的官方渠道核实。