NYC Health + Hospitals 2025年数据泄露事件

NYC Health + Hospitals于2026年3月24日宣布，一起安全事件导致个人信息和受保护健康信息泄露。取证调查确定，未经授权的第三方在网络中停留了约11周，并窃取了文件。根据这份声明，此次事件属于该机构已确认数据被获取的情况，而非仅存在被查看的可能。

HHS OCR将此事件列为“黑客攻击/IT事件”，信息所在位置列为“网络服务器”，实体类型列为“医疗服务提供者”。HIPAA Journal将该机构的披露内容与联邦记录进行了对比，印证了访问时间范围、文件窃取、受影响群体及主要数据类别。现有来源未将此次攻击归因于任何具名的勒索软件团伙。

威胁行为者于2025年11月25日首次访问该网络。该机构于2026年2月2日发现可疑活动并采取措施保护系统，但调查发现，访问持续至2月11日。事件日期依据的是公开来源中可核实的最早技术活动。

该机构于2026年3月发布公开公告，同时继续审查受影响的文件。HHS的这条记录标注的提交日期为3月24日，受影响人数为180万。NYC Health + Hospitals表示，最初的访问可能发生在一家未具名第三方供应商遭遇安全事件之后；由于尚未确认，本原始记录未注明该供应商的名称或所用的技术手段。

医疗信息包括病历号、残疾代码、诊断、用药、检查结果、影像和治疗计划。这些字段包含详细且具有长期意义的个人健康信息。由于该机构未表示每份文件都包含所有临床字段，这些类别描述的是个人可能受到影响的范围。

可能涉及的信息包括健康保险计划及保单信息、保险公司名称、参保人及团体标识符，以及Medicaid、Medicare或其他政府支付方的标识符。账单和理赔信息也在影响范围内。这些字段可能被用于医疗理赔欺诈、医疗身份盗用及有针对性的保险诈骗。

个人信息字段包括姓名、社会保障号码、驾照号码或其他政府签发的身份证件号码，以及纳税人识别号码。美国国税局（IRS）签发的身份保护PIN和精确地理位置数据也在影响范围内。此外，还涉及信用卡或借记卡号码，以及金融账户信息或凭据，增加了税务欺诈、公共福利欺诈和新开账户欺诈等风险。

文件中还包含指纹、掌纹等生物识别信息，以及在线账户凭据。密码可以更改，但生物特征是永久性的，因此可能带来更持久的影响。这份广泛的数据类别清单并不意味着每个人都涉及所有字段。

在大致相同的时期，另一起涉及照护协调合作伙伴NADAP的事件也影响了NYC Health + Hospitals的患者。该事件发生于2025年11月，涉及约5,086人，泄露了姓名、出生日期、地址、Medicaid号码、社会保障号码，以及与居家照护相关的临床信息。

NADAP事件涉及的机构、发现日期和通知范围均不同，因此未被计入这起涉及180万人的网络泄露事件。将两起事件分开处理，可以避免可能的重复计数，也避免把不同事件合并。

NYC Health + Hospitals为2020年至2026年2月2日期间曾接受服务的患者或曾在该机构工作的人员提供了24个月的免费信用监测和身份盗用保护服务。收到通知的人应留意信用报告、税务及公共福利账户、信用卡和借记卡，以及银行账户活动；如果涉及社会保障号码，还应考虑冻结信用档案。

如在医疗或保险结算单中发现不认识的服务或理赔项目，应予以报告。生物识别信息或在线账户信息受到影响的人，应警惕意外收到的验证请求，并为每个账户设置独立的密码。