Health Payment Systems 2025年数据泄露事件

HPS的官方安全通知说明了事件时间线、受影响的系统环境、可能涉及的数据字段以及公司的应对措施。通知称，某些患者信息可能已被一名身份不明的人员未经授权访问或获取。

HHS OCR的记录将同一机构列为业务合作方，列出的受影响人数为9,380人，并将此事归类为涉及电子邮件的黑客攻击/IT事件。这一数字代表受影响的总人数，并不能确定每个人涉及哪些数据字段。

HPS于2025年6月27日前后发现了与部分员工电子邮件账户有关的可疑活动，并采取措施保护这些账户。随后，公司与第三方网络安全专家共同调查了事件的性质和范围。

调查确定，一名身份不明的人员在6月24日至6月27日前后访问了部分电子邮件。因此，本目录所标注的日期代表访问时段的大致起始日期；通知并未披露确切时间、所用方法或行为人的身份。

官方通知列出了姓名、地址、出生日期、ID、参保ID和参保人个人ID。对于部分人员，涉及的信息还可能包括社会安全号码、医疗信息和医疗保险信息。

涉及的字段因人而异。虽然事件涉及员工电子邮件账户，但通知并未在暴露字段中单独列出受影响人员的电子邮件地址或账户密码，因此本目录不将这两类信息列入其中。

姓名、地址、出生日期和社会安全号码可能被组合使用，用于身份盗用、欺诈性开户，或税务与信贷欺诈。身份编号和参保人编号也可能被用于让定向发送的消息显得可信。

医疗和医疗保险信息可能被滥用于虚假服务理赔、保险欺诈，或冒充医疗机构发送消息。来电者或发信者即使能准确说出参保人信息或健康细节，也不能证明其身份真实可信。

公司表示，已保护相关账户，部署先进的威胁防护与监控工具，审查现有安全政策，并实施额外措施。公司还向执法部门及按规定须通报的监管机构报告了此事。

HPS表示，将向能够查明地址的受影响人员邮寄通知，并提供免费的信用监控和身份盗用防护。具体资格条件和登记日期，应以本人直接收到的通知为准。

收到通知的人员应检查金融账户活动、信用报告和医疗保险给付说明书，留意不明账户、交易或服务。如发现可疑记录，应通过独立核实的渠道向相关银行、医疗保险计划或医疗服务提供者报告。

不要因意外接到的电话或收到的消息而提供社会安全号码、保险信息、密码或验证码。被告知社会安全号码涉及此次事件的人员，也可考虑申请免费的信用冻结或欺诈警示。