Saint Anthony Hospital 2025年数据泄露事件

主要证据是医院在其自有域名上发布的《数据安全事件通知》。通知称，未经授权的一方可能获得了两个员工电子邮件账户的访问权限，此次事件导致网络内的部分非结构化文件遭到未经授权的访问或获取。该机构还确认，已对受影响系统采取遏制措施，并与第三方网络安全专家共同开展调查。

HHS OCR将该事件列在“医疗服务提供机构”类别下，将事件类型归为“黑客攻击/IT事件”，并将受影响信息所在位置标为“电子邮件”。联邦记录所列的146,108名受影响者，为医院关于事件涉及患者个人信息和健康信息的调查结论提供了监管记录层面的佐证。HIPAA Journal对各项来源进行了独立比对，印证了访问日期、审查完成情况、通知时间以及更新后的影响范围。

根据官方通知，非结构化文件和文件夹于2025年2月27日前后遭到访问或获取。事件日期依据的是可通过公开来源核实的最早技术活动。公开文本没有说明相关行为者首次进入账户的日期、访问持续的总时长，或医院最初发现事件的日期，因此本条目不会自行推定更早的开始日期。

Saint Anthony与专家合作，识别受影响的数据和人员，并于2026年2月13日前后完成文件审查。随后，医院发布了替代性通知，并于2026年3月6日开始向可能受影响的个人邮寄通知。约一年的间隔反映的是文件审查和身份信息匹配所需的时间，并不表示攻击者在整个期间都持续潜伏。

2026年3月的官方声明称，受影响的非结构化数据包含患者个人信息和个人健康信息。声明并未针对本次事件逐项列明姓名、地址、出生日期、社会保障号码、诊断信息、处方或账户号码。未经核实的受影响人数、数据字段及威胁行为者声明，均不纳入本事件公开披露的影响范围。

Saint Anthony较早的一份公开通知曾列出详细字段，但HHS记录中的事件日期和受影响人数各不相同，自动将这些事件合并并不可靠。本条目对应的是涵盖146,108人的2026年3月通知，不会将早前事件的字段清单照搬到这次事件的影响范围中，也不会假定每个人的文件都包含相同类别的信息。

Saint Anthony的取证调查确定，其电子健康记录系统未受此次事件影响。该系统未受影响，并不意味着事件没有涉及健康信息：与电子邮件环境相关的非结构化文件中发现了患者个人信息和受保护的健康信息。这一区别将核心电子记录平台与存储在电子邮件或网络位置中的文档区分开来。

因此，LeakData将受影响系统标为“电子邮件”，并不暗示整个临床平台已遭入侵。非结构化文件可能是附件、扫描文档或自由格式的记录，但来源并未说明其确切格式，因此本条目不会将这些可能性作为事实。有记录可查的信息暴露范围仍仅限于医院明确确认的上述两类信息。

官方来源公布的受影响人数或记录数量，代表该事件所报告的影响范围。这并不意味着每一类已披露的数据都涉及每一名受影响者。该数字是向联邦监管机构报告的受影响总人数，而非文件、电子邮件账户或不同数据字段的数量。两个员工账户指的是事件中遭到访问的账户范围，不能将其与受害者人数混淆。

由于HHS门户还收录了一起于2025年报告、影响人数较少的Saint Anthony电子邮件事件，去重核查并非仅依据机构名称进行。本记录通过2月27日的访问日期、2026年3月6日的通知日期，以及146,108人的影响范围这三项信息共同加以区分。本条目不会将联邦记录中的不同条目人数相加，也不会计算不同事件受影响人群之间任何未知的重叠。

发布通知时，医院表示，尚未获悉任何表明信息遭到滥用，或已发生身份盗用或欺诈的证据。尽管如此，医院仍建议受影响者定期查看金融账户对账单、信用报告和医疗保险给付说明。对于不熟悉的服务、理赔申请或付款，应通过已知的官方渠道向相关服务提供方或保险公司核实。

以Saint Anthony名义发来的意料之外的链接、付款请求和身份验证消息，尤其需要仔细核查，因为事件相关信息可能为定向网络钓鱼提供条件。通知收件人应以邮寄信件中说明的个人受影响范围和官方联系方式为准。LeakData不会发布或搜索被盗的患者文件；它仅提供经核实的事件元数据、来源和实用的后续应对建议。