Для кого: для всех жителей США, которые обращались к врачу и получили письмо от Aesto (Aesto Health), компании, которую они не знают, для их семей, а также для медицинских организаций и компаний, которые передают записи пациентов сторонним поставщикам.
Эта статья основана на официальном уведомлении Aesto, на портале нарушений Министерства здравоохранения и социальных служб США (HHS), на уведомительном письме, поданном генеральному прокурору одного из штатов, а также на рекомендациях и нормативных актах американских ведомств (FTC, IRS и федеральных правилах). Способы атак в статье не рассматриваются.
Что сделать сегодня тем, кто получил письмо
Проверьте страницу уведомления на наличие вашей медицинской организации
В уведомлении Aesto сказано, что оно направляется от имени покрываемых организаций, и в нём есть раздел с их перечнем. Образец письма, поданный в Генеральную прокуратуру Калифорнии, также отправлен Aesto от имени клиента-медицинской организации и называет её. Не выбрасывайте письмо только потому, что не знаете компанию; найдите название медицинской организации, которой вы действительно пользовались.
Используйте только номер из уведомления
Специальная линия: 833-918-8060 (с понедельника по пятницу, с 8:00 до 20:00 по центральному времени, кроме основных федеральных праздников). В уведомлении просят держать под рукой номер заявки. Утекшие данные включают контактные и страховые сведения, поэтому не доверяйте звонкам и письмам, в которых говорится «это Aesto» или «о ваших архивных записях из больницы» и просят SSN или номер счёта (см. что такое фишинг?).
Проверьте, какой мониторинг предлагает ваше письмо
В образце письма, поданном в Калифорнии, клиент-медицинская организация предлагает бесплатное 12-месячное членство в мониторинге кредитной истории. Поскольку мониторинг предлагает медицинская организация, детали и срок могут отличаться от письма к письму. Следуйте шагам регистрации и срокам из вашего письма.
Защитите SSN и ITIN: заморозьте кредитную историю во всех трёх бюро и получите IP PIN от IRS
Заморозка кредитной истории бесплатна, и её нужно оформить в каждом из бюро: Equifax, Experian и TransUnion.
IRS IP PIN — это шестизначный номер, который, по данным IRS, не позволяет другим лицам подать налоговую декларацию с вашим SSN или ITIN. ITIN есть в списке раскрытых данных, поэтому это касается и тех, кто подаёт декларацию с ITIN. IP PIN действует один календарный год, и каждый год выдаётся новый. Полный американский чек-лист, включая детей, см. в статье что делать участникам DentaQuest.
Медицинская и страховая информация: проверяйте отчёты о выплатах и запрашивайте записи
FTC относит к признакам медицинской кражи личности счёт или отчёт о страховых выплатах (Explanation of Benefits) за услуги, которые вы не получали, а также звонки коллекторов о медицинском долге, который вы не должны. В уведомлении Aesto также предлагается проверить отчёты EOB, выяснить у страховщика или медицинской организации всё, что вам незнакомо, и при необходимости запросить копии медицинских записей с даты возможного доступа по настоящее время.
Если затронуты водительское удостоверение или счёт, займитесь и этим
Номер водительского удостоверения может использоваться так, что заморозка кредитной истории не защищает. Рекомендацию FTC обратиться в госагентство по автотранспорту штата разбирает статья об утечке AssuranceAmerica. Если затронут номер финансового счёта, проверьте выписки и сообщите в свой банк.
Пациент (вы)
Вы знаете врача, к которому обращались
↓ лечение→
Медицинская организация (покрываемая организация)
Передаёт миграцию и архивирование старых записей
↓ поставщик→
Поставщик архивных услуг (деловой партнёр)
Доступ к части его облачной среды
Порядок уведомления
Поставщик → медицинские организации (с 26 июня 2026 года) → пациенты (уведомление и письма выпущены Aesto от имени медицинских организаций)
Чего пациенты обычно не знают: что врач передал записи поставщику
Что произошло (по уведомлению Aesto и публичным данным)
Ниже приведено по уведомлению Aesto (от 24 июня 2026 года), порталу Управления по гражданским правам HHS и образцу уведомительного письма, поданному в Генеральную прокуратуру Калифорнии.
Примерно 2 декабря 2025
По данным компании, начало периода, в который информация могла быть получена или скопирована.Примерно 18 декабря
Компания обнаруживает и локализует инцидент сетевой безопасности, затронувший часть её облачной инфраструктуры, и начинает расследование с привлечением внешних специалистов по кибербезопасности.26 мая 2026
После криминалистического расследования и ручной проверки документов компания подтверждает, какая информация затронута.24 июня
Компания публикует уведомление.26 июня
Компания начинает уведомлять клиентов-покрываемых организаций, чьи данные пациентов были в файлах, которые могли быть получены или скопированы.31 июля
Дата подачи на портале HHS (9 540 683 затронутых).25 августа
Дата образца уведомительного письма, поданного в Генеральную прокуратуру Калифорнии (для одной клиент-медицинской организации).
- Компания
- Aesto, LLC (Aesto Health), Бирмингем, штат Алабама. Предоставляет услуги миграции и архивирования медицинских данных клиентам-покрываемым организациям
- Затронутая среда
- Ограниченная часть её облачной инфраструктуры
- Затронутая информация
- Имена, даты рождения, медицинские сведения, номера водительских удостоверений, только номера финансовых счетов, данные о медицинской страховке, ITIN, другие государственные идентификационные номера. SSN для ограниченного числа людей. Различается у разных людей
- Неправомерное использование
- Компания заявляет, что у неё нет данных о краже личности или финансовом мошенничестве, связанных с инцидентом
- Запись на портале HHS
- Тип организации: деловой партнёр / Тип: Hacking/IT Incident / Место: Network Server
- Контакт
- 833-918-8060 (с понедельника по пятницу, с 8:00 до 20:00 по центральному времени, кроме основных федеральных праздников)
Как читать даты
От обнаружения (примерно 18 декабря 2025 года) до подтверждения информации (26 мая 2026 года) компания, по её словам, проводила криминалистическое расследование и ручную проверку документов. Образец письма отдельным лицам, который мы нашли, датирован 25 августа 2026 года. Эта статья не оценивает указанный период, но то, что читателю нужно сделать, очевидно: получив письмо, исходите из того, что ваши данные могли находиться в чужих руках несколько месяцев, и в первую очередь выполните заморозку и проверки.
Почему у компании, о которой вы не слышали, оказались ваши записи?
Aesto описывает свою деятельность как миграцию и архивирование медицинских данных. Когда медицинская организация заменяет систему электронных медицинских карт или систему учёта, либо объединяется с другой организацией, она не может просто выбросить записи старой системы. Поэтому она может передать старые записи внешней службе архивирования, которая хранит их для поиска.
Пациенты этого перемещения не видят. Они обратились в больницу или клинику, и никто не сообщает им, куда дальше попали их записи.
По американским правилам защиты медицинской информации (HIPAA) такие поставщики называются деловыми партнёрами. Федеральные правила устанавливают порядок: обнаружив нарушение, деловой партнёр уведомляет медицинскую организацию (45 CFR 164.410), а та уведомляет физическое лицо (45 CFR 164.404). Поэтому письмо приходит от имени Aesto вместе с названием вашей медицинской организации.
Чего пациенты не видят
- Каким поставщикам их врач передал записи
- Как долго эти записи хранятся
- Облачную среду поставщика
- Уведомление приходит от компании, название которой им ничего не говорит
Что могут сделать пациенты
- Проверить список медицинских организаций на странице уведомления
- Сделать SSN и ITIN бесполезными для мошенников с помощью заморозки и IP PIN
- Следить за медицинской информацией через отчёты о выплатах и копии записей
- Использовать только номер, указанный в уведомлении
Позиция сайта: архивные записи редко используются, но содержат полный набор персональных данных
Архив старых записей редко открывают в повседневной работе, но он может годами хранить полный набор: имя, дату рождения, страховку, SSN и номер счёта. Список раскрытых данных здесь очень похож на такой полный набор. Чем реже к данным обращаются, тем меньше кто-либо помнит, что они существуют, и тем вероятнее, что они хранятся без решения о том, кто за них отвечает и до какого срока.
Архивирование откладывает решение об удалении, и чем дольше его откладывают, тем больше людей затронет утечка из архива. Для медицинских организаций первый шаг предшествует более сильному шифрованию: составьте список того, что вы передали, и установите дату возврата или уничтожения.
Для медицинских организаций и компаний: опись поставщиков и дата возврата или уничтожения архивных записей
Составьте опись всех поставщиков, которые хранят данные пациентов
Миграции систем электронных карт и учёта, архивы старых записей, услуги биллинга, сканирование документов. Составьте список всех поставщиков, которые хранят данные пациентов, независимо от того, какое подразделение подписало договор, и для каждого укажите, за сколько лет и сколько людей, какие поля (включая SSN или номера счетов) и в каком облаке.
При инциденте, затрагивающем множество клиентов-медицинских организаций, как в этом случае, с этого списка и начинается выяснение, затронуты ли вы. Подход такой же, как в статье об инвентаризации безопасности.
Установите дату возврата или уничтожения архивных записей
Подтвердите сроки хранения, требуемые законом и договором, и включите в договор и в рабочие процессы порядок удаления записей по истечении срока.
Федеральные правила требуют, чтобы договоры с деловыми партнёрами предусматривали: при прекращении договора деловой партнёр, если это возможно, вернёт или уничтожит всю защищённую медицинскую информацию и не будет хранить копий (45 CFR 164.504(e)(2)(ii)(J)). По окончании договора проверьте, что возврат или уничтожение действительно состоялись.
Передавайте во внешний архив меньше данных
Перенося записи из старой системы, проверяйте поле за полем, действительно ли SSN и номера счетов нужно переносить. Исключение ненужных для поиска полей уменьшает объём того, что может утечь. Общие сведения о хранении и резервном копировании см. в статье основы резервного копирования.
Будьте готовы быстро сказать, чьи записи там хранятся
Компания сообщает, что для подтверждения затронутой информации потребовалась ручная проверка документов. Если вы знаете, в каких файлах какие записи людей и какие поля хранятся по всему переданному, вы сможете быстрее установить затронутых людей после инцидента и спланировать, как связаться с теми, у кого контактные данные устарели. Общий подход см. в статье минимальная базовая мера безопасности для организаций.
Источники (публичные данные)
Факты в этой статье основаны на следующих публичных материалах. Оценки прессы и предположения о нераскрытых причинах не используются. Медицинские организации в статье описаны по их роли.
- Aesto, LLC d/b/a Aesto Health, «Notice of Data Security Incident» (24 июня 2026) — aestohealth.com
- Управление по гражданским правам HHS, «Breach Portal: Cases Currently Under Investigation» (Aesto, LLC: 9 540 683 затронутых; подано 31 июля 2026) — ocrportal.hhs.gov
- Генеральная прокуратура Калифорнии, образец уведомительного письма Aesto (подано для одной клиент-медицинской организации, 25 августа 2026) — oag.ca.gov
- Свод федеральных нормативных актов США, 45 CFR 164.404 и 164.410 (уведомление о нарушениях) и 164.504(e) (договоры с деловыми партнёрами) — ecfr.gov
- Федеральная торговая комиссия (FTC), «What To Know About Medical Identity Theft» — consumer.ftc.gov / «Credit Freezes and Fraud Alerts» — consumer.ftc.gov / IdentityTheft.gov
- Налоговая служба США (IRS), «Get an identity protection PIN» — irs.gov
История обновлений
2026-10-19: Исправлен поисковый заголовок, чтобы он не подразумевал, что у всех 9,5 млн человек были затронуты SSN. Сохранено официальное различие: состав данных различается у разных людей, а SSN могли быть затронуты для ограниченного числа.
2026-09-30: Первая версия, основанная на уведомлении Aesto (от 24 июня 2026 года), портале нарушений Управления по гражданским правам HHS (подано 31 июля 2026 года), образце уведомительного письма, поданном в Генеральную прокуратуру Калифорнии, рекомендациях FTC и IRS, а также федеральных правилах. Мы обновим материал, если компания или регуляторы опубликуют больше сведений.
Читайте далее
- Обзор утечек в американском здравоохранении за 2026 год: утечки у компаний, с которыми пациенты не работали напрямую
- Полный американский чек-лист (заморозка, IP PIN, дети): утечка DentaQuest (SSN и номера Medicaid)
- Когда утекает номер водительского удостоверения: утечка AssuranceAmerica
- Данные пациентов у производителя медицинских устройств: утечка Medtronic
- Другие инциденты 2026 года: список утечек и кибератак (Япония и мир)
- Для операторов: основы резервного копирования / минимальная базовая мера безопасности для организаций