VITAS Hospice Services 2025年数据泄露事件

主要来源是VITAS Hospice Services发送给受影响人员的十四页《数据泄露通知》。该通知直接说明了事件发现日期、被攻陷的供应商账户、访问时间范围、数据下载情况、调查、安全改进措施，以及为期二十四个月的保护服务。

第二个来源是HHS OCR数据泄露门户，其中确认了联邦记录中的受影响总人数为319,177人，以及事件的分类。第三个来源是SecurityWeek于2025年12月9日发布的报道，该报道依据VITAS通知和联邦记录，独立介绍了事件影响范围、访问方式及患者数据被下载的情况。HIPAA Journal也印证了相同的时间线和数据类别。

未经授权的一方攻陷了一个属于VITAS供应商的账户，并利用该账户进入了VITAS的部分系统。该机构于10月24日发现事件，而取证审查确定，未经授权的访问大约从9月21日持续至10月27日。在此期间，部分目前接受服务的患者及既往患者的信息被查看和下载。

发现事件后，VITAS采取措施保护系统，启动内部调查，并聘请外部专家。访问大约在事件发现后三天结束，这一时间点来自已完成的取证时间线。事件日期以公开来源能够核实的最早技术活动时间为依据。

涉及的数据字段因人而异，可能包括姓名、地址、电话号码、出生日期、社会保障号码、驾驶证号码、近亲属联系方式、诊断、用药、化验结果、病情、治疗信息、医疗保险信息及其他个人信息。这些信息组合起来高度敏感，可能被用于身份欺诈和医疗欺诈。

VITAS并未表示所有319,177人的数据都包含每一个字段。公司信函确认了数据被下载，但这些来源并未证实数据被公开发布、出售，或转交给某个具名的勒索软件团伙。

官方来源公布的受影响人数或记录数量，代表此次事件所报告的影响范围。这并不意味着所披露的每一类数据都涉及每一个人。SecurityWeek和其他医疗行业安全刊物报道的联邦统计总数相同。该数值统计的是通知覆盖的人数，而不是文件数、临终关怀服务次数、处方数、化验结果数或单个数据项的数量。

VITAS Hospice Services属于覆盖全国的VITAS Healthcare临终关怀与姑息治疗服务网络。此次事件涉及目前接受服务的患者及既往患者的信息，但这两类人群各自的人数，以及每个字段涉及的受影响人数均未披露，因此本条目不对总人数进行拆分统计。

VITAS表示，已采取措施保护系统，启动内部调查，与一家领先的网络安全公司合作，并通知执法部门。该机构还审查并加强了供应商监督和数据保护规程，以降低类似事件再次发生的风险。

信函发出时，VITAS尚未获知个人信息被滥用的情况。尽管如此，受影响人员仍可通过Epiq获得为期二十四个月的免费信用监测、身份保护和医疗监测服务。该服务方案包括身份恢复、信用冻结协助，以及针对某些医疗身份信息泄露迹象的警报。

收到通知的人应在信函规定的登记期限内开通Epiq服务，并定期检查信用报告、地址变更情况、医疗保险给付说明及医疗服务记录，留意陌生账户或活动。如发现可疑记录，应通过相关机构的官方渠道报告。

VITAS信函明确表示，该机构不会就此事件发送电子通信，并要求收件人不要通过电子方式提供个人信息。不要打开意外收到的、声称来自VITAS、Epiq、保险公司或医疗服务提供者的链接；应先通过已核实的电话号码联系相关机构。如果出现可疑消息或账户活动，应通过该机构当前的官方联系渠道核实，不要使用消息中的链接。