Для кого: бенефициары Medicaid и DC Healthcare Alliance в Вашингтоне, округ Колумбия (с 2023 года), а также все, кто в государственных органах или компаниях публикует статистические отчеты, таблицы или панели мониторинга в интернете. Статья основана на официальном уведомлении Департамента финансирования здравоохранения (DHCF).
Что делать сегодня участникам программы
Проверьте, получили ли вы письмо от DHCF
DHCF рассылает отдельные письма затронутым людям. Затронуты бенефициары Medicaid и DC Healthcare Alliance (программы медицинского страхования, финансируемой округом Колумбия).
С вопросами звоните на бесплатную линию 1-833-687-5424, указанную в уведомлении DHCF. Если кто-то звонит или пишет и просит назвать ваши данные «в связи с инцидентом», положите трубку и позвоните по этому номеру сами.
Ищите медицинские услуги и рецепты, которых вы не получали
В раскрытых данных были номера идентификаторов Medicaid и даты рождения. Эти данные используются при регистрации в учреждениях и при проверке страхового покрытия, поэтому разумно следить за тем, не использует ли кто-то ваше покрытие (медицинская кража личности).
Просмотрите уведомления от поставщиков услуг и страховой компании на предмет визитов или рецептов, которых вы не узнаете. Если нашли что-то подобное, позвоните на линию DHCF. Также можно сообщить о краже личности на сайте Федеральной торговой комиссии identitytheft.gov.
Рассмотрите проверки кредитной истории и блокировку, которые рекомендует DHCF
Согласно уведомлению, имена и номера социального страхования не включались. Тем не менее DHCF рекомендует три шага:
- Получите бесплатные кредитные отчеты на annualcreditreport.com и проверьте, нет ли счетов, которые вы не открывали
- Установите оповещение о мошенничестве в бюро кредитных историй
- Установите блокировку кредитной истории в Equifax, Experian и TransUnion
Блокировка бесплатна, и вы можете временно снять ее, когда сами подаете заявку на кредит.
Если видите признаки кражи личности, сообщите о ней
В уведомлении DHCF в качестве мест для сообщения о предполагаемой краже личности указаны FTC, Управление генерального прокурора округа Колумбия (202-727-3400) и правоохранительные органы. Не отвечайте на сообщения, которые ссылаются на письма или новости и просят назвать ваш идентификатор Medicaid или банковские реквизиты.
Что произошло (по уведомлению DHCF)
DHCF — ведомство, которое управляет программой DC Medicaid. На своем сайте оно разместило «Уведомление об инциденте с данными». Далее изложено содержание этого уведомления и сообщений о подаче в HHS.
С 2023 года по июль 2026 года
Период, в течение которого два отчета были на сайте DHCF. Они показывали только сводную статистику.21 июля 2026 года
DHCF узнал, что отчеты содержали скрытые персональные данные. Как он это узнал, не опубликовано.После обнаружения
DHCF удалил отчеты с сайта и начал проверку для укрепления внутренних процессов.3 сентября 2026 года
Отчет в Управление по гражданским правам HHS с указанием 399 086 человек (по данным HIPAA Journal). Письма затронутым людям разосланы.
- Данные
- Номер идентификатора Medicaid, дата рождения, название поставщика услуг, раса, пол, район (ward), этническая принадлежность
- Не включено
- Имена бенефициаров, номера социального страхования, данные о финансовых счетах
- Кто
- Бенефициары Medicaid и DC Healthcare Alliance; 399 086 человек по отчету в HHS
- Где
- В скрытых полях двух отчетов, размещенных на сайте. Отчеты были построены так, чтобы показывать только сводную статистику
- Формат файла
- Не опубликован (неизвестно, Excel, PDF или панель мониторинга, а также не раскрыты названия отчетов)
- Фактический доступ
- Описан как доступный людям без разрешения. Не опубликовано, получил ли кто-то данные на самом деле
- Реакция
- Отчеты удалены; начата проверка внутренних процессов; письма разосланы затронутым людям
- Контакт
- Бесплатная линия DHCF: 1-833-687-5424
Чем этот случай отличается: без взлома, просто файл, который ведомство опубликовало само
Большинство утечек данных начинаются с того, что кто-то извне получает доступ к системе. Здесь персональные данные находились внутри статистических отчетов, которые DHCF опубликовал сам.
Проверка цифр, видимых на экране, такую проблему не выявит. Нужно проверять содержимое файла.
Два отчета, размещенные на сайте DHCF (2023 – июль 2026)
Что показывал экран
Только сводная статистика
Скрытые поля в файле
Номер идентификатора Medicaid, дата рождения, название поставщика услуг, раса, пол, район (ward), этническая принадлежность
↓ Доступно людям без разрешения
399 086 затронутых людей (по отчету HHS)
Имена, номера социального страхования и данные о финансовых счетах не включались
Что пока неизвестно
На 3 октября не были опубликованы названия и формат отчетов, то, как DHCF обнаружил проблему, и то, получил ли кто-то данные на самом деле. Мы обновим статью, если появится больше информации.
Для всех, кто публикует отчеты, таблицы или панели мониторинга
Поскольку DHCF не сообщил, в каком формате были его отчеты, этот раздел охватывает три распространенных формата: где исходные данные могут скрываться за итогами и как их проверить. Государственные органы и компании повсеместно публикуют таблицы, и подобные инциденты случались и в других местах.
Случай из Японии: старый список в скрытых листах (город Окава)
20 августа 2026 года город Окава в префектуре Фукуока (Япония) сообщил, что Excel-список добровольцев социальной службы, опубликованный им в декабре 2025 года, все еще содержит скрытые листы. После их отображения были видны имена и номера телефонов 188 добровольцев, назначенных в 2013, 2016 и 2019 годах. Обращение жителя привлекло к проблеме внимание.
Город заменил файл на PDF, но затем выяснил, что если в URL PDF поменять расширение на .xlsx, то открывается исходная таблица. После этого город удалил файл из системы управления сайтом. Заменённый файл может оставаться доступным по старому адресу.
Где в Excel скрываются данные
Не видно, но все еще в файле
- Скрытые строки, столбцы и листы (отобразите их, и данные вернутся)
- Кэш сводных таблиц (копия исходных данных; двойной щелчок по итогу возвращает исходные строки)
- Белый текст, формулы со ссылками на другие листы, определенные имена
- Комментарии и свойства документа, например имена авторов
- Внешние подключения к данным и модели данных (Power Query, Power Pivot)
Как найти и удалить
- Файл → Сведения → Проверить наличие проблем → Инспектор документов находит и удаляет скрытые строки, столбцы, листы и комментарии
- В Параметрах сводной таблицы → Данные снимите флажки «Сохранять исходные данные вместе с файлом» и «Включить подробные данные»
- Самый надежный способ: вставить только значения в новую книгу
Инспектор документов помогает, но не обязательно очищает кэш сводных таблиц или модели данных. Безопаснее построить публичный файл только из итогов, чем чистить книгу, которая когда-то содержала персональные данные.
Шаги перед публикацией
Создайте публичный файл отдельно от исходных данных
Не публикуйте рабочий файл после того, как скрыли или удалили в нем части. Создайте отдельный публичный файл: экспорт в CSV только нужных столбцов или новую книгу со вставленными значениями. Исходные строки и скрытые листы в него не попадут.
Как решил город Окава в своих мерах по предотвращению, одним из вариантов является публикация в формате PDF или HTML. Но даже в PDF черный прямоугольник поверх текста может оставить текст под ним доступным для копирования. Используйте функцию редактирования (redaction) в вашем редакторе PDF.
Скрывайте ячейки с малым числом записей
Даже таблица итогов может выделить человека, если в ячейке для конкретного района, возраста и пола есть один или два человека. Центры Medicare и Medicaid США (CMS) придерживаются правила не публиковать ячейки с 1–10 людьми. Перед публикацией замените малые значения чем-то вроде «менее 11».
Подключайте публичные панели только к агрегированным данным
В инструментах для панелей, таких как Power BI или Tableau, на экране может отображаться диаграмма, тогда как весь базовый набор данных отправляется в браузер или может быть извлечен через функции «показать данные» или «скачать». Фильтрация данных из вида — это не то же самое, что их удаление.
Подключайте публичные панели только к агрегированному набору данных без строк по отдельным людям и отключайте скачивание данных, если оно не нужно. Функция «Publish to web» в Power BI делает отчет доступным любому, у кого есть ссылка.
Откройте файл так, как открыл бы посторонний
Сразу после публикации скачайте файл в браузере, в котором вы не вошли в систему, и откройте его так, как сделал бы посторонний. Для таблицы отобразите все листы и запустите Инспектор документов; для панели используйте инструменты разработчика браузера (вкладка Network), чтобы увидеть, какие данные реально передаются.
Проверку лучше поручить не автору, а другому человеку: так легче заметить то, что упустил автор.
Регулярно проверяйте опубликованные файлы
Отчеты DHCF оставались в сети почти три года, начиная с 2023 года. Ведите список файлов на своем сайте и проверяйте их содержимое не реже одного раза в год. Когда заменяете или удаляете файл, убедитесь, что старый файл больше не открывается по старому URL.
Лучшее решение — не включать данные по отдельным людям в публичный отчет вообще. Работа только с нужными столбцами и нужным уровнем детализации — то, что в GDPR ЕС называется «минимизацией данных» (Что такое GDPR?). О данных, открытых через настройки общего доступа, см. раскрытие данных в публичном облачном хранилище; о файлах, оставленных в публичных папках, см. секреты в публичных каталогах.
Источники (открытые публикации)
Факты в этой статье взяты из следующих открытых источников. Мы не предполагали формат файла и то, как была обнаружена проблема.
- Департамент финансирования здравоохранения округа Колумбия (DHCF), «Уведомление об инциденте с данными» — dhcf.dc.gov
- HIPAA Journal (число людей и дата подачи в Управление по гражданским правам HHS) — hipaajournal.com
- Город Окава, уведомление о возможной утечке персональных данных с сайта города (20 августа 2026 года, на японском языке) — city.okawa.lg.jp
История обновлений
2026-10-03: первая версия на основе уведомления DHCF и сообщений о его подаче в HHS. Мы обновим ее, если будут опубликованы формат отчета или дополнительные данные.
Читайте далее
- Идентификаторы участников Medi-Cal: утечка данных Paradigm Healthcare Services
- Инциденты в здравоохранении США: утечки данных в здравоохранении США (2026)
- Инциденты в госорганах: утечки данных госорганов (2026) / Департамент парков и дикой природы Техаса
- Раскрытие через настройки: раскрытие данных в публичном облачном хранилище / секреты в публичных каталогах
- Другие инциденты 2026 года: список утечек и кибератак (Япония и весь мир)