Waveny LifeCare Network 2025年数据泄露事件

主要信息来源是 Waveny 在其官网发布的《数据安全事件通知》。在这份文件中，该机构直接说明了5月28日前后发生的网络中断、调查发现未经授权的一方访问了部分数据、正在审查的数据类别、求助专线，以及事件发生后实施的安全改进措施。

HHS OCR 公共门户网站收录了 Waveny LifeCare Network 的医疗行业数据泄露记录，受影响人数为27,113人。马萨诸塞州的一份消费者通知文件佐证了免费监测服务的安排；Claim Depot 则汇集了该机构及州政府的官方来源，并概述了事件时间线和影响范围。各来源所述的涉事机构、事件日期、数据类型和受影响总人数一致。

Waveny 的网络系统在5月28日前后出现中断。该机构立即采取内部应对措施，通知执法部门，并聘请顶尖的网络安全专家调查事件性质。其正式通知称，调查确定，未经授权的一方在事件期间访问了部分数据。

一份二手资料将此事与勒索软件活动联系起来，并提到一个名为 Qilin 的团体声称对此负责。Waveny 发布的原始通知并未指明行为者、最初的入侵方式或恶意软件，也未确认数据是否确实被发布到暗网上。

可能受到影响的信息包括姓名及地址、出生日期、电话号码、电子邮件地址、社会安全号码和驾驶证号码，也可能包含面部照片。由于每个人涉及的数据项不同，这份清单汇总的是所有可能涉及的字段，并不意味着机构为每个人都持有包含全部字段的完整资料。

姓名、出生日期和 SSN 的组合会带来较高风险，可能被用于开立新账户实施欺诈，或盗用身份进行税务欺诈。电子邮件、电话和地址信息可能被用于冒充 Waveny 或其他医疗机构，发起具有迷惑性的网络钓鱼攻击。面部照片不一定是生物识别模板，官方文本也未单独确认是否涉及人脸识别模板。

正式通知列出的数据包括入院日期、出院日期、死亡日期、病历编号、患者账户号码、实验室检验结果、医学影像结果和电子健康记录。医疗保险账户号码或保单号码，以及 Medicare 或 Medicaid 信息，也在可能受影响的范围内。这些数据可直接将个人与其诊疗历史关联起来。

医疗和保险标识信息可能被滥用于骗取服务、盗用医疗身份及实施定向诈骗。患者应检查医疗服务门户、账单摘要和保险给付说明，留意无法解释的服务、不熟悉的医疗服务提供者或不明理赔。临床记录如出现意外变更，应直接向相关医疗服务提供者报告。

可能受影响的字段还包括付款信息和金融账户号码。官方文本未说明付款信息具体是指银行卡号、交易记录还是其他财务字段，也未公布银行名称或账户访问代码。

官方来源公布的受影响人数或记录数量代表已报告的事件范围，并不意味着每个人都涉及所有已披露的数据类别。Claim Depot 列举的州级数据包括马萨诸塞州174名、缅因州19名和佛蒙特州9名居民。这些人数属于全国总数的一部分，不应再加到全国总数之上。

Waveny 启动了内部应对措施，通知了执法部门，与网络安全专家共同开展调查，并采取额外措施加强系统安全。州级通知材料说明，符合条件的通知接收者可通过 Cyberscout 获得为期24个月的信用监测和身份保护服务。机构还设立了专线833-353-3395，服务时间为工作日美国东部时间上午9:00至晚上9:00。

通知接收者应定期检查信用报告、金融账户、医疗账单和保险给付说明。如果涉及 SSN 或财务信息，可以考虑采取信用冻结、设置欺诈警示，以及使用 IRS 身份保护 PIN 等措施。对于自称代表 Waveny 发来的非预期消息，不应向对方提供密码、SSN、保险号码或验证码。