Для кого: участники программ DentaQuest, бывшие участники и родители детей-участников в США, а также все, кто отвечает за вход в систему, MFA или службу поддержки в организации. Статья основана на перечисленных ниже публичных источниках и не описывает методы атак.
- Собственное уведомление DentaQuest и письма пострадавшим
- Заявления, поданные в генеральные прокуратуры штатов США
- Рекомендации государственных органов США (FTC, IRS, Medicare, CISA)
Что делать пострадавшим участникам уже сегодня
Убедитесь, что вы пострадали, используя только номер из вашего письма
DentaQuest начала отправлять письма 17 июля 2026 года. Отдельные версии подготовлены для взрослых, несовершеннолетних и умерших. Компания также разместила ту же информацию на своём сайте для людей, с которыми не смогла связаться. Если у вас есть вопросы, специальный колл-центр: (844) 959-7163, с понедельника по пятницу, с 8:00 до 17:30 по центральному времени. Поскольку в данных есть номера телефонов и адреса, не доверяйте звонку или сообщению, в котором говорится, что оно от DentaQuest и просит «подтвердить» ваш SSN или номер участника. Вместо этого позвоните по номеру, напечатанному в вашем письме (см. Что такое фишинг?).
Зарегистрируйтесь в бесплатном мониторинге личности до истечения срока
В письме предлагается бесплатный мониторинг личности на 24 месяца, включающий мониторинг кредитной истории, консультации по мошенничеству и помощь в восстановлении после кражи личности. В письме сказано, что на регистрацию с кодом активации из письма у вас есть 90 дней с даты отправки письма. Мониторинг сообщает о мошенничестве уже после того, как оно произошло. Следующий шаг, заморозка кредитной истории, помогает предотвратить открытие новых счетов.
Заморозьте кредитную историю в Equifax, Experian и TransUnion
ФТК (FTC) сообщает, что при действующей заморозке никто не может открыть новый кредитный счёт на ваше имя. Услуга бесплатна, не влияет на кредитный рейтинг и действует, пока вы её не снимете. Обращаться нужно отдельно во все три бюро. Когда вам понадобится кредит, можно временно снять заморозку в том бюро, которое использует кредитор. Предупреждение о мошенничестве (fraud alert) — более мягкий вариант: оно просит кредиторов сначала проверить вашу личность; первоначальное предупреждение действует один год.
Получите IRS Identity Protection PIN
IP PIN — это шестизначный номер, который, по данным IRS, не позволяет другому человеку подать налоговую декларацию с использованием вашего SSN. Зарегистрироваться может любой, у кого есть SSN или ITIN и кто может подтвердить свою личность, даже если он не обязан подавать декларацию. Самый быстрый способ — ваш онлайн-аккаунт в IRS. Родители и опекуны также могут запросить такой номер для иждивенцев.
Проверяйте выписки о льготах (Explanation of Benefits) и следите за номером Medicaid или Medicare
ФТК описывает медицинскую кражу личности как ситуацию, когда кто-то использует ваше имя, SSN, номер страхования или номер Medicare, чтобы получить медицинские услуги или подать счета. Тревожными признаками являются счёт или выписка о льготах за услуги, которые вы не получали, а также звонок от коллектора по поводу медицинского долга, которого вы не должны. Если вы считаете, что кто-то использует ваш номер Medicare, Medicare советует звонить по номеру 1-800-MEDICARE (1-800-633-4227). Сами они никогда не позвонят вам без вашего запроса, чтобы узнать личные данные. Для номера Medicaid действует совет ФТК: свяжитесь со страховым планом и поставщиками услуг, где могли использовать ваши данные, и запросите записи. О мошенничестве в программах Medicare и Medicaid также можно сообщить на горячую линию Управления генерального инспектора HHS (1-800-HHS-TIPS).
Родители: заморозьте кредитную историю и у ребёнка
DentaQuest подготовила отдельное письмо для несовершеннолетних, поэтому дети тоже входят в число тех, кого уведомляют. ФТК сообщает, что если вашему ребёнку меньше 16 лет, вы можете запросить бесплатную заморозку кредитной истории на имя ребёнка. Она действует, пока вы не попросите бюро её снять, и у каждого бюро свой порядок действий для несовершеннолетних. Чтобы получить IP PIN для ребёнка младше 18 лет, IRS требует использовать один из альтернативных вариантов регистрации.
Если данные используются незаконно, составьте план восстановления на IdentityTheft.gov
Если вы обнаружили счёт, налоговую декларацию или медицинский запрос, которые вы не подавали, сообщите об этом на IdentityTheft.gov. На сайте ФТК вас спросят, что произошло, и составят персональный план восстановления. В письме DentaQuest также советуется обращаться в местную полицию, если вы подозреваете кражу личности.
SSN + имя + дата рождения
↓→
Новые кредиты, поддельные налоговые декларации
→ Заморозка кредитной истории во всех трёх бюро + IRS IP PIN
Номер Medicaid / Medicare / участника
↓→
Услуги или счета на ваше имя
→ Читайте каждую выписку о льготах; звоните по номеру 1-800-MEDICARE или в ваш план
Имя + адрес + поставщик и диагноз
↓→
Убедительные звонки и письма
→ Положите трубку; звоните по номеру из вашего письма или карты
Что произошло (по уведомлению DentaQuest и заявлениям в штаты)
Всё, что изложено ниже, приводится так, как сообщила DentaQuest в своём публичном уведомлении, письмах физическим лицам и письмах Генеральной прокуратуре штата Вашингтон, а также по данным региональных регуляторов.
17 мая 2026 г.
По словам компании, инцидент начался.19 мая
Согласно заявлению в штат Вашингтон, вся активность неуполномоченной стороны прекратилась. (В публичном уведомлении сказано, что инцидент завершился «не позднее 20 мая».)20 мая
DentaQuest узнала о неуполномоченной третьей стороне, которая утверждает, что имеет её данные, и приняла меры по локализации. Через внешнего юриста привлекли стороннюю компанию по цифровой криминалистике.21 мая
Компания сообщила ФБР.26 мая
DentaQuest впервые опубликовала уведомление об утечке данных на своём сайте.29 мая
Компания узнала, что данные были опубликованы в даркнете.16–17 июля
Заявления в генеральные прокуратуры штатов, в которых указано более 15 млн человек; компания сообщает, что также уведомила Управление по гражданским правам HHS. Письма отправляются с 17 июля.3 августа
Обновлённое заявление в Генеральную прокуратуру штата Вашингтон: более 27,4 млн человек по всей стране; проверка продолжается.
- Кто
- DentaQuest LLC, которая работает со страховыми планами и предоставляет стоматологические и офтальмологические льготы. Пострадать могли участники, поставщики услуг и другие лица, связанные с DentaQuest, а также люди, чей план раньше работал с ней
- Вовлечённые данные
- Имя, адрес, дата рождения, номер социального страхования, номер участника, номер страхового плана, номера Medicaid и Medicare, а также информация о стоматологическом или офтальмологическом здоровье (имя поставщика услуг, диагноз, лечение, счета). Состав данных различается у каждого человека
- Как был получен доступ (заявление в штат Вашингтон)
- Атака методом социальной инженерии обманом заставила одного сотрудника передать учётные данные и код многофакторной аутентификации. Данные были извлечены из сетевой папки общего доступа
- Что не выявило расследование
- По данным заявления, не найдено признаков других скомпрометированных учётных записей, вредоносного ПО или программ-вымогателей, повышения привилегий или закрепления в системе; операционные системы не пострадали
- Публикация в интернете
- В письмах сказано, что информация человека «получена и опубликована в интернете»
- Меры компании
- Усиленные средства безопасности и мониторинга, дополнительное обучение сотрудников, внешние эксперты по кибербезопасности
- Контакт
- (844) 959-7163, пн–пт, с 8:00 до 17:30 по центральному времени
Как читать цифры
По мере продолжения проверки число выросло: более 15 млн в заявлениях от 16 июля, более 27,4 млн в обновлении от 3 августа, а компания сообщает, что проверка продолжается. Другие цифры, распространяемые в интернете, взяты из внешних анализов или от стороны, получившей данные; в этой статье используются только собственные заявления компании. Если вы участник и не получали письма, это само по себе не доказывает, что вас не было в списке.
Почему одного кода оказалось недостаточно и что могло это предотвратить
В заявлении не указано, какой вид MFA использовала DentaQuest, и эта статья не строит догадок. Но оно позволяет сделать общий вывод: вторым фактором было то, что человек мог передать другому.
Факторы, которые человек может передать
- Пароль (вводится, может быть продиктован)
- Одноразовый код по SMS или из приложения (шесть цифр, может быть продиктован или введён на поддельной странице)
- Подтверждение через push-уведомление (одно нажатие, может быть подтверждено вместо вас)
Факторы, привязанные к настоящему сайту
- Passkey (FIDO/WebAuthn, на телефоне или компьютере)
- Ключ безопасности FIDO2 (физический ключ)
- Смарт-карта PKI (на основе сертификата)
Рекомендации CISA ранжируют MFA от самого сильного к самому слабому и называют устойчивый к фишингу MFA «золотым стандартом». Там сказано, что единственная широко доступная форма, устойчивая к фишингу, — это аутентификация FIDO/WebAuthn, а приложения с одноразовыми паролями названы уязвимыми для фишинга.
Разница структурная: passkey или ключ безопасности проверяют, какой сайт запрашивает доступ, прежде чем ответить. Поэтому у человека нет кода, который можно продиктовать, и нет ничего, что злоумышленник может перехватить и ввести на настоящем сайте. О том, как варианты сравниваются для ваших аккаунтов, рассказано в статьях Выбор многофакторной аутентификации и Что такое passkey?.
Точка зрения сайта: служба поддержки — часть вашего MFA
Организации часто внедряют passkeys, но оставляют другой путь входа: процесс их сброса. Если тот, кто звонит в службу поддержки и говорит «я потерял телефон», может зарегистрировать новый фактор, ответив на вопросы, ответы на которые есть в утёкшем файле (имя, дата рождения, табельный номер), то сильный фактор на самом деле не останавливает злоумышленника. Относитесь к процессу сброса как к входу в систему:
- Проверяйте вне звонка: положите трубку и перезвоните по номеру из корпоративного справочника HR или подтвердите через руководителя сотрудника по другому каналу.
- Никогда не принимайте «знание» как доказательство: всё, что есть в файлах HR или у участников, может утечь. Используйте личную проверку, видеопроверку по фото на пропуске или уже зарегистрированное устройство.
- Замедляйте сбросы повышенного риска: новый фактор для учётной записи администратора, финансов или службы поддержки должен отправлять уведомление на другие устройства пользователя и его руководителю, а также включать короткую паузу до того, как фактор станет доступен.
- Начинайте с самых привилегированных учётных записей: сначала включите устойчивый к фишингу MFA для администраторов, сотрудников службы поддержки и всех, кто имеет доступ к массовым данным (например, к общему файловому хранилищу); CISA призывает администраторов и других лиц с высокой ценностью для атакующих переходить первыми.
Для организаций, которые хранят данные участников или пациентов
В заявлении сказано, что данные были извлечены из сетевой папки общего доступа. Эту деталь стоит проверить в вашей среде, потому что такие папки часто накапливают выгрузки и отчёты, которыми никто не владеет.
Найдите массовые выгрузки на общих дисках
Ищите в файловых папках общего доступа и общих облачных папках таблицы и выгрузки с SSN, номерами участников или кодами диагнозов. Для каждого файла спросите: кому он нужен и можно ли выполнить ту же работу внутри системы учёта, где доступ фиксируется и ограничивается?
Настройте оповещения по объёму, а не только по входам
Украденный вход, прошедший MFA, выглядит как обычный вход. Заметно то, сколько один аккаунт читает. Настройте оповещение в журнале аудита файлового сервера или облачного хранилища о том, что один аккаунт открывает намного больше файлов, чем обычно в день, и направляйте его тому, кто может в тот же день приостановить доступ.
Спланируйте уведомление заранее
DentaQuest отправила отдельные письма взрослым, несовершеннолетним и умершим, а число пострадавших росло по мере проверки данных. Заранее решите, как вы будете определять, кого касаются данные из множества файлов, и как связываться с людьми, у которых контактные данные устарели. Общие базовые требования описаны в статье Минимальный базовый уровень безопасности для организаций.
Ещё один случай, когда злоумышленники проникли через обманутого сотрудника, описан в статье об утечке в Carnival Corporation, где также были номера паспортов. Об утечке номеров документов, удостоверяющих личность, в Европе см. статью об утечке в Odido.
Источники (публичные данные)
Факты в этой статье взяты из перечисленных ниже публичных источников. Цифры и утверждения стороны, получившей данные, а также внешние оценки не используются.
- DentaQuest, Notice of Data Breach (впервые опубликовано 26 мая 2026 года; обновлено 16 июля 2026 года) — dentaquest.com (архивная копия)
- Письма DentaQuest Генеральной прокуратуре штата Вашингтон (уведомление от 16 июля 2026 года и обновление от 3 августа 2026 года, с образцом письма) — портал Генеральной прокуратуры штата Вашингтон об утечках (PDF) / atg.wa.gov
- Генеральная прокуратура штата Калифорния, карточка утечки DentaQuest LLC с письмами для взрослых, несовершеннолетних и умерших — oag.ca.gov
- Министерство юстиции штата Орегон, отчёты об утечках данных (DentaQuest LLC, 15 000 000) — justice.oregon.gov
- FTC, Credit Freezes and Fraud Alerts — consumer.ftc.gov / What To Know About Medical Identity Theft — consumer.ftc.gov / IdentityTheft.gov
- IRS, Get an identity protection PIN — irs.gov
- Medicare, Your Medicare card и Reporting Medicare fraud and abuse — medicare.gov / medicare.gov
- HHS Office of Inspector General, Report Fraud, Waste, and Abuse — oig.hhs.gov
- CISA, Implementing Phishing-Resistant MFA (информационный бюллетень, октябрь 2022) — cisa.gov (PDF)
История обновлений
2026-10-19: Карточка длительности заменена датами из официального уведомления; различаются окончание 19 мая по заявлению в штат и формулировка «не позднее 20 мая» из уведомления. Точное количество часов не выводится. В хронике первая публикация 26 мая отделена от отправки писем, начавшейся 17 июля. В описании для поиска, краткой аннотации и вступлении уточнено, что цифра относится ко всей затронутой совокупности, а состав данных, например SSN и номера страховок, различается у каждого человека.
2026-09-30: Первая версия, основанная на уведомлении DentaQuest (обновлено 16 июля 2026 года), её заявлениях регуляторам штатов Вашингтон, Калифорния и Орегон (включая обновление от 3 августа 2026 года о более чем 27,4 млн человек), а также рекомендациях FTC, IRS, Medicare, HHS-OIG и CISA. Компания сообщает, что проверка данных продолжается; эта статья будет обновлена, если число изменится.
Читайте дальше
- Другие случаи с медицинскими данными в этом году: Aesto Health (архивирование медицинских данных) / Medtronic (медицинские устройства)
- Выбор второго фактора: Выбор многофакторной аутентификации / Что такое passkey?
- Распознавание мошенничества, которое следует за утечкой: Что такое фишинг?
- Ещё один случай 2026 года, начавшийся с обманутого сотрудника: Утечка в Carnival Corporation (номера паспортов)
- Утечка номеров удостоверений в Европе: Утечка в Odido (Нидерланды)
- Пароли: Выбор менеджера паролей
- Другие инциденты 2026 года: список утечек и кибератак (Япония и весь мир)
- Для операторов: Минимальный базовый уровень безопасности для организаций