Excelsior Orthopaedics 2024年数据泄露事件

主要来源是缅因州总检察长官方门户中的修订版通知。通知所链接的信函记录了6月23日发现异常的情况、初步取证结果、涉及的患者和员工范围、各批次通知，以及该机构的应对措施。后续修订的备案将此前报告的受影响总人数上调至394,752人。

第二个来源是 HHS 民权办公室的官方数据泄露门户，其中 Excelsior Orthopaedics 条目报告，2024年8月21日的一起网络服务器黑客攻击/IT事件影响了292,913人。公开的数据泄露信息来源 独立比对核查了缅因州的修订版备案和2025年9月的州级通知，记录了目前的受影响总人数及泄露的数据类别。

Excelsior 于6月23日发现其网络中存在异常活动。该医疗服务机构切断了外部网络访问，隔离了可疑设备，更改了用户和管理员凭据，并聘请专业网络安全公司开展取证调查。初步结果表明，目前和曾经在此就诊的患者以及在职和离职员工的相关数据遭到泄露。

随后，Excelsior 与外部数据审查专家合作，将泄露文件与具体个人对应起来。最初的一小部分人于2024年8月收到通知；大部分数据挖掘工作于12月完成后，第二批信函于12月31日寄出。公开记录未说明最初的入侵方式、被利用的漏洞或实施攻击的人员或组织。

涉及的主要字段因人而异，包括全名、地址、出生日期、社会安全号码、驾驶证号码或非驾驶人员身份证号码。员工通知样本中还列出了生物识别信息。本条目并不假定每位通知接收者的所有上述字段都受到影响；每个人的具体涉及范围以其本人收到的通知为准。

SSN 与出生日期及政府签发的身份证件号码相结合，可能增加新账户欺诈、身份冒用或更具迷惑性的网络钓鱼风险。“生物识别信息”在官方样本中作为一个宽泛的类别列出。

可能涉及的患者信息包括病历编号、诊断及诊断代码、诊疗地点、医疗操作类型、医疗服务提供者姓名或名称、诊疗费用以及服务日期。列出的信息还包括医疗保险信息、投保人或成员编号，以及患者账户号码。这些信息可能使医疗、账单和保险待遇相关骗局更具迷惑性。

收到通知的人可以检查保险给付说明、患者门户中的活动记录、不熟悉的服务项目、意料之外的催收行为，以及医疗服务提供者发来的消息。即使一条消息包含真实的诊断、服务日期或医疗服务提供者姓名或名称，也不能仅凭这些信息认定其可信。应通过已知的医疗服务提供者电话号码或平时使用的患者门户另行核实。

394,752是缅因州总检察长修订版记录中最新的全美受影响总人数。此前披露的357,000人和 HHS 记录的292,913人，反映了不同时间完成的审查及相应的通知范围，不能相加。

缅因州的官方信函于2025年1月表示，识别受影响人员的工作仍在进行，后续修订的备案则增加了受影响人数。各州居民的受影响人数不会再加到全美总人数中，以免重复计算。

Excelsior 对网络采取了遏制措施，更改了凭据，并表示已部署新的安全工具、重新设计关键系统和业务流程，同时提升安全意识并加强告警。该机构已向 FBI 报告此次事件。缅因州的通知样本为受影响人员提供了通过 CyberScout 获得的12个月免费信用监测及身份盗用后的恢复援助服务。

收到通知的人应在自己的信函中确认服务登记截止日期；如果涉及 SSN 或身份证件号码，可考虑冻结信用、设置欺诈警报并监测是否有新账户开立。对于健康数据，应检查保险待遇结算单和患者账户。对于突然收到的、以 Excelsior 名义发送的消息，不要提供密码、完整的 SSN 或一次性验证码，也不要应其要求付款。如果出现可疑消息或账户活动，应通过该机构当前的官方联系渠道核实，不要使用消息中的链接。