OpenLoop Health 2026年数据泄露事件

该机构于2026年1月7日得知有未经授权的第三方访问了部分系统，随后启动事件响应。该机构与网络安全专家共同开展的调查确认，这一第三方在1月7日和8日访问了系统，并在此期间复制了特定文件。因此，数据已被获取这一点得到了该机构的确认，而不只是存在信息可能被查看的情况。

HHS OCR将该事件归类为黑客攻击/IT事件，将信息所在位置列为网络服务器，并将OpenLoop列为业务合作伙伴。HIPAA Journal对照了加利福尼亚州的通知与联邦记录，报道了访问时段、文件被复制的情况，以及716,000人的受影响范围。这些来源未确认攻击者最初采用何种技术获得访问权限，也未将攻击归因于任何具名的勒索软件团伙。

事件发生日期以公开来源能够核实的最早技术活动为依据。未经授权的活动于1月8日结束；该机构得知事件后，采取措施保护系统，并审查相关内容，以确定哪些文件已被复制。发现日期、访问结束日期和通知日期均与事件开始日期分别记录。

OpenLoop随后通知了受影响的个人，并于2026年3月17日通过联邦HHS门户提交了该事件。5月更新的新闻记录也印证了联邦记录中716,000人的总数。访问持续时间较短并不能消除风险：文件被复制已得到确认，意味着信息已离开受影响的系统。

已披露的个人信息字段包括姓名、通讯地址、电子邮件地址和出生日期。被复制的文件中也包含医疗信息；该机构的通知未进一步列明诊断、治疗或处方等更具体的字段。

每个人涉及的内容并不相同，披露信息也未说明所有受害者都涉及每一类数据。未经核实的人数、数据字段和威胁行为者的说法，不纳入这一公开事件的影响范围。支付卡、银行账户、密码和生物识别信息也未被披露为本事件中已确认受影响的内容，因此不予添加。

官方来源公布的受影响人数或记录数量反映的是事件已报告的影响范围，并不意味着每个人都涉及所有已披露的数据类别。这是该机构履行HIPAA通知义务时向联邦主管部门报告的范围。LeakData不会将这一数字取整，不会根据新闻标题重新计算，也不会为不同客户群体编造推定的分项人数。

一名使用Stuckin2019这一名称的威胁行为者声称获取了涉及160万名患者的数据，并称已发布数据样本。OpenLoop未确认这一更高的人数，而可靠的官方记录显示受影响人数为716,000人。因此，该行为者声称的人数不计入总数，也不会将这两个数值相加。

与直接提供医疗服务的单一机构发生的事件相比，业务合作伙伴的数据泄露可能波及更广泛的医疗服务网络。地址、出生日期等身份信息与医疗信息相结合，可能使冒充医疗机构的网络钓鱼、虚假收费或社会工程攻击尝试更具迷惑性。不过，这些来源并未表示已发现信息遭到滥用。

由于OpenLoop承担平台服务角色，该记录按这家公司的名义收录；不会为每个客户另建未经证实的泄露条目。HHS记录中业务合作伙伴这一分类支持了这种供应商关系。本条目仅涵盖同一联邦报告中确认的、在上述1月访问时段内受影响的716,000人。

OpenLoop为受影响的人提供了免费的信用监测和身份盗用防护服务。收到通知的人应查看通知信中说明的影响范围，留意信用报告和健康保险费用说明，并向相关机构报告不明的服务或理赔。虽然据报告社会保障号码未受影响，但仍需警惕意外收到的、以医疗服务为主题的通信。

使用收件人姓名、地址、电子邮件地址和出生日期的消息，可能看起来像是来自真实的医疗服务提供者。应通过已知的官方渠道联系相关机构，而不是点击消息中的链接，并自行核实意外收到的付款或密码请求。