Утечка данных AdaptHealth (около 4,1 млн человек): раскрыты данные о страховании и здоровье — пациентам стоит проверить выписки о льготах и звонки

Компания говорит, что уведомила всех затронутых людей, для которых у неё была актуальная контактная информация. По вопросам в уведомлении указан номер (844) 958-8963, с понедельника по пятницу, с 8:00 до 17:30 по центральному времени, кроме праздников США.

Если вы не уверены, что письмо настоящее, откройте уведомление на сайте компании и портал нарушений HHS (ocrportal.hhs.gov) и сравните сами. Шаги описаны в статье Шесть утечек данных в здравоохранении США в 2026 году и как проверить уведомление.

Компания говорит, что предоставляет услуги защиты личности, включая мониторинг кредитной истории, без оплаты в течение не менее 12 месяцев. Код активации и срок указаны в письме.

Поскольку SSN не раскрывались, заморозка кредитной истории в трёх бюро здесь не обязательна. Однако если ваш SSN был раскрыт в другой утечке, сейчас хороший момент её установить.

Explanation of Benefits (EOB) — это выписка, которую страховщик присылает с указанием, кому, за какую помощь и на какую сумму были выплачены средства. Федеральная торговая комиссия (FTC) называет признаками медицинской кражи личности счета за помощь, которую вы не получали, и звонки коллекторов о неизвестном медицинском долге.

Для медицинского оборудования для дома также ищите оборудование или расходные материалы, которых вы не получали. Medicare советует сравнивать даты и услуги в своих выписках с вашими записями.

Раскрытые данные могут включать контактные сведения и медицинскую информацию, например, какое оборудование вы используете. Поэтому звонящий, который называет ваше устройство и говорит, что «пора заменить» или что ваш «страховой полис нужно проверить», ещё ничего не доказал.

Не отвечайте номером страховки или Medicare. Положите трубку и позвоните по номеру на счёте AdaptHealth или на оборудовании либо своему лечащему врачу. Medicare заявляет, что никогда не будет звонить вам, чтобы что-либо продать, и не придёт к вам домой. Основы распознавания таких контактов описаны в статье Что такое фишинг?

FTC советует запросить свои записи у вовлечённых поставщиков услуг, письменно сообщить об ошибках и составить план восстановления на IdentityTheft.gov. Если вы думаете, что ваш номер Medicare используется неправомерно, позвоните по номеру 1-800-MEDICARE (1-800-633-4227).

Составьте таблицу всех учётных записей подрядчиков, которые могут входить в ваши системы: компания, конкретный человек, приложения, видимые данные и дата окончания. Начните с учётных записей без срока действия, без известного владельца или с избыточным доступом, и сократите их или отключите.

Требуйте от подрядчиков тех же требований MFA, что и от сотрудников. О выборе надёжных методов см. статью Как выбрать многофакторную аутентификацию.

Проверьте общие диски, хранилища документов и таблицы на наличие файлов с паролями к порталам партнёров или сайтам страхового биллинга. Перенесите их в систему управления паролями, которая может разделять доступ по людям (например, бизнес-менеджер паролей), и затем удалите файлы. Основы для личного использования описаны в статье Как выбрать менеджер паролей.

Защита собственных систем не мешает кому-то использовать похищенные пароли в системе партнёра. Заранее ведите список сохранённых учётных данных и планируйте сменить их все в тот же день, а также заранее определите контакты, по которым будете сообщать каждому партнёру.

В отчёте говорится, что пользовательская сессия была скомпрометирована. Сессия — это состояние входа, которое остаётся действующим некоторое время после авторизации; прохождение MFA при входе мало что говорит о том, что происходит дальше. Сокращайте срок жизни сессий подрядчиков, требуйте повторной аутентификации для крупных действий, например массовой выгрузки данных пациентов, и выводите оповещения, когда одна учётная запись читает значительно больше данных, чем обычно. Общий подход описан в статье Базовый уровень безопасности для организаций.