Insightin Health 2025 年数据泄露

Insightin Health 在一份替代通知中说明了可疑网络活动及其开展的第三方调查。取证审查确认，未经授权的访问发生于2025年9月17日至9月23日。文件审查显示，受影响文件中存在与其客户相关的受保护健康信息，因此该事件确实属于受法规监管的健康数据泄露。

HHS OCR 的记录将 Insightin Health 归类为业务伙伴，将事件归类为黑客攻击/IT 事件，并将信息所在位置列为网络服务器。HIPAA Journal 审阅了该机构的通知及事件背景，印证了访问时间范围、数据类型和所提供的保护措施。相关来源明确指出，社会保障号码未遭泄露。

已核实的网络访问始于2025年9月17日，止于9月23日。事件日期依据的是公开来源中能够核实的最早技术活动。Insightin 于9月发现异常活动后，启动了取证审查，以确定事件的性质、范围及受影响文件。

HHS 记录所载的提交日期为2026年1月16日，目前显示受影响人数为 1,949,534 人。公开来源未披露每个客户收到通知的时间，也未提供按健康保险计划划分的人数小计。

文件中可能包含姓名和出生日期。合同编号以及健康保险机构使用的非唯一标识符也在披露范围内。这些字段可能被用于网络钓鱼和保险账户欺诈，但保险机构使用的非唯一标识符本身并不是个人账户密码。

部分文件中包含 Medicare 受益人标识符。Insightin 还披露，受影响信息包括与个人所关联的医疗服务提供者有关的信息。这些信息结合起来，可能帮助攻击者伪造具有迷惑性的 Medicare 通知，或利用已知的医疗服务提供者关系编写欺骗性消息。

Insightin Health 明确表示，社会保障号码未遭泄露。相关来源也未将支付卡、银行账户、账户密码、诊断、详细治疗记录或处方信息列入已确认的一般数据字段。

受影响的数据组合可能因个人和 Insightin 客户而异；这份记录并不意味着全部 1,949,534 人都涉及每一个字段。不能根据“受保护的健康信息”这一表述推断存在未披露的临床细节。

勒索软件组织 Medusa 声称对此事件负责，宣称已从 Insightin 的网络中窃取 378 GB 数据，并威胁将其公开。这些细节并未出现在该机构的替代通知中。公开来源未显示 Insightin 确认了 Medusa 的名称、文件总量、赎金要求或其声称窃取的全部内容。

可靠的核心信息是公司已确认的网络访问情况和文件范围，以及 HHS 所列的 1,949,534 名受影响者。不能依据攻击者的说法扩大受影响数据类别的范围。

Insightin Health 向受影响者提供了为期十二个月的免费信用监测和身份盗用保护。虽然社会保障号码不在受影响范围内，收到通知的人仍应关注信用报告，仔细核实声称代表健康保险计划或 Medicare 的消息。对于突然接到的、索取受益人标识符的电话，应拒绝提供相关信息。

如果 Medicare 或健康保险账单中出现不熟悉的医疗服务提供者、服务或理赔项目，应通过该保险计划的官方欺诈举报渠道报告。应自行从保险卡或官方网站获取联系方式，而不是点击消息中的链接。如果出现可疑消息或账户活动，应通过该机构当前的官方联系渠道核实，不要使用消息中的链接。如果已收到个人通知信，应以该信为主要依据，了解与本人有关的数据范围及所提供的保护选项。对日期和数据类别的解读应以公开来源能够支持的范围为限；未披露的细节不应被视为已获确认。