Для кого: для людей, получивших уведомление об утечке Perry Johnson & Associates (PJ&A) 2023 года, и для медицинских организаций, передающих транскрипцию, кодирование или выставление счетов на аутсорсинг. Статья основана на пресс-релизах генпрокуроров Нью-Йорка, Коннектикута и Нью-Джерси и не описывает методы атаки.
Развивается: статья будет обновляться по мере публикации организацией новых сведений
- Кого это касается
для людей, получивших уведомление об утечке Perry Johnson & Associates (PJ&A) 2023 года, и для медицинских организаций, передающих транскрипцию, кодирование или выставление счетов на аутсорсинг.
- ПодтвержденоСмотреть таблицу ↓
- Число затронутых
- Раскрытые данные
- Пока не подтверждено
- Пресс-релиз Мичигана и его число
- Как ответственность компаний трактуется в тексте соглашения
- Число затронутых по каждой медицинской организации-заказчику
Ещё 1
- Последуют ли за соглашением новые уведомления или поддержка
- Что сделать сейчасСмотреть шаги ↓
- Убедитесь, что заморозка кредитной истории всё ещё действует
- Проверьте выписки о выплатах на предмет помощи, которую вы не получали
- Исходите из того, что диагнозы и результаты анализов были раскрыты, и подготовьтесь к угрозам
Ещё 2
- С подозрением относитесь к сообщениям, использующим соглашение как предлог
- Спросите у уведомившего вас поставщика, почему эта компания имела ваши данные
- Где проверить (источник)Все источники ↓
- Генпрокурор Нью-Йорка, «Attorney General James Secures Up to $10 Million and Critical Reforms From Companies That Failed to Protect Private Medical Data» (6 ноября 2026)
- Последняя проверка
- По состоянию на 8 ноября 2026 года
Планы обновлений и что мы проверили
В пресс-релизах ничего не сказано о дальнейшей информации. По состоянию на 8 ноября 2026 года этот сайт подтвердил пресс-релизы Нью-Йорка, Коннектикута и Нью-Джерси. Пресс-релиз Мичигана подтвердить не удалось.
Что делать сегодня, если вы получили уведомление
Убедитесь, что заморозка кредитной истории всё ещё действует
Номера социального страхования были среди раскрытых пунктов, поэтому это самый эффективный шаг. Бесплатную заморозку можно оформить в Equifax, Experian и TransUnion. Если вы оформили её после уведомления 2023 года, проверьте, что она не снята. Как это сделать, объясняет страница Федеральной торговой комиссии США (FTC) в источниках.
Проверьте выписки о выплатах на предмет помощи, которую вы не получали
Имя, дата рождения, страховые данные и номер больничного счёта вместе позволяют получить помощь или выставить счёт на чужое имя. Просмотрите в «объяснении выплат» страховщика визиты, рецепты или оборудование, которых вы не помните. Если найдёте, обратитесь к страховщику и указанному поставщику.
Исходите из того, что диагнозы и результаты анализов были раскрыты, и подготовьтесь к угрозам
Файлы транскрипции включали результаты анализов и названия лекарств. Если кто-то заявляет, что знает ваш диагноз, и требует денег, не платите; обратитесь в FTC или полицию. В пресс-релизах не сказано, что такие обращения были. Это то, что в целом может случиться, поэтому стоит подготовиться.
С подозрением относитесь к сообщениям, использующим соглашение как предлог
В пресс-релизах не сказано, что пострадавшим заплатят. Звонок или сообщение о «выплате по соглашению», «проверке счёта» или «сборе» подозрительно с момента, когда оно пришло без вашего запроса. Проверяйте, сами открыв официальный сайт генпрокурора вашего штата (как распознавать такое: Что такое фишинг?).
Спросите у уведомившего вас поставщика, почему эта компания имела ваши данные
Согласно пресс-релизу Нью-Йорка, PJ&A оказывала медицинским организациям по всей стране такие услуги, как кодирование, выставление счетов и запись. С точки зрения пациента это компания, с которой вы не заключали договор. Вы можете спросить у поставщика, который вас лечил или уведомил, насколько ваши данные передавались его подрядчикам.
Что произошло (по пресс-релизам генпрокуроров)
Этот раздел основан на пресс-релизах генпрокуроров Нью-Йорка, Коннектикута и Нью-Джерси от 6 ноября 2026 года. Это версия штатов, а не компаний. Компании — Perry Johnson & Associates, Inc. (PJ&A), Perry Johnson, Inc. (PJI), Perry Johnson & Associates Coding, Inc., Perry Johnson & Associates Radiology, Inc. и Medical Transcription and Coding, Inc., которые в пресс-релизах называются «Perry Johnson companies».
Учётные данные сотрудника
Нет многофакторной аутентификации при удалённом доступе
↓→
Месяцы доступа
Действия записывались, оповещения не было
↓→
Обнаружение
Примерно через два месяца, когда хакеры вышли на связь
Это версия штатов, а не компаний.
Март 2023 г.
По данным штатов, хакеры использовали учётные данные сотрудника PJ&A Coding, чтобы получить доступ к системам PJ&A.В последующие месяцы
Хакеры собирали пароли и получали доступ к незашифрованным файлам (по данным штатов).Примерно через два месяца
PJ&A узнала об утечке, только когда хакеры связались с ней (по данным штатов).6 ноября 2026 г.
Генпрокуроры четырёх штатов объявили о соглашении.
- Компании
- Perry Johnson & Associates, Inc. (PJ&A) и четыре аффилированные компании
- Утечка
- Март 2023 года; около 13,3 млн человек по всей стране
- Числа по штатам
- Около 4,2 млн жителей Нью-Йорка; около 539 669 в Нью-Джерси; около 107 960 в Коннектикуте. Мичиган не подтверждён
- Раскрытые пункты
- Имена, даты рождения, домашние адреса, номера социального страхования; номера больничных счетов, диагнозы, страховые данные; клиническая информация в файлах транскрипции (результаты лабораторных и диагностических анализов, названия лекарств)
- Сумма соглашения
- До 10 млн долларов. Не менее 300 000 долларов штрафов штатам; ещё 9 700 000 долларов причитаются штатам, если компании не выполнят условия соглашения
- Суммы по штатам
- Нью-Йорк: не менее 100 000 долларов штрафов и расходов. Коннектикут: 66 666 долларов. Нью-Джерси: в пресс-релизе не указано
- Вид документа
- Пресс-релиз Нью-Джерси даёт ссылку на Assurance of Voluntary Compliance (добровольное обязательство о соблюдении). В остальных пресс-релизах документ в тексте не назван
Причины, которые называют штаты
В пресс-релизах описаны следующие условия. Это версия штатов, а не заявление компаний.
| Пункт | Версия штатов | Статус |
|---|---|---|
| Число затронутых | Около 13,3 млн человек по всей стране | Подтверждено (штаты) |
| Раскрытые данные | Имя, дата рождения, адрес, номер социального страхования, номер больничного счёта, диагноз, страховые и клинические данные | Подтверждено (штаты) |
| Проникновение | Использованы учётные данные сотрудника PJ&A Coding | Версия штатов |
| Удалённый доступ | Многофакторная аутентификация не требовалась | Версия штатов |
| Файлы | Получен доступ к незашифрованным файлам; собраны пароли | Версия штатов |
| Мониторинг журналов | Программа PJI записывала действия, но не была настроена оповещать сотрудников безопасности | Версия штатов |
| Обнаружение | Примерно через два месяца, когда хакеры связались с компанией | Версия штатов |
| Как были получены учётные данные | В пресс-релизах нет | Не указано |
| Хранение данных как причина | Не названо причиной; хранение фигурирует только в обязательных мерах | Не указано |
| Признали ли компании нарушение | В пресс-релизах Нью-Йорка и Коннектикута нет | Не указано |
Как это читать: соглашение — это не решение суда о нарушении закона
В заголовке пресс-релиза Нью-Йорка о компаниях сказано, что они не смогли защитить («Failed to Protect») частные медицинские данные, но ни в одном пресс-релизе не сказано, что компании нарушили закон или признали ответственность. Этот сайт не утверждает, что компании нарушили закон, сверх того, что сказано в пресс-релизах.
Что обязаны сделать компании
Общие для пресс-релизов меры:
- Вести комплексную программу информационной безопасности и протокол реагирования на инциденты
- Внедрить меры защиты и политики по многофакторной аутентификации, управлению паролями, шифрованию и учёту активов
- Ежегодно проводить оценку рисков в соответствии с HIPAA
- Поддерживать политики и процедуры сбора, использования, хранения и уничтожения персональной медицинской информации
Пресс-релиз Нью-Джерси не описывает независимого наблюдателя или график отчётности.
К чему может привести такое сочетание данных
В целом такие сочетания могут быть использованы во вред. Это не значит, что так произошло здесь.
- Имя + дата рождения + номер социального страхования + адрес: попытки открыть счета или кредит либо мошеннически получить налоговый возврат
- Имя + страховые данные + номер больничного счёта: помощь, полученная или оплаченная на чужое имя
- Диагнозы и названия лекарств: убедительные обращения или угрозы, опирающиеся на знание состояния здоровья человека
Чему могут научиться медицинские организации и заказчики
В версии штатов есть моменты, которые заказчик может проверить в собственном контроле подрядчиков. Этот раздел держится опубликованного и превращает его в пункты для проверки в ваших договорах и системах.
- Многофакторная аутентификация при удалённом доступе. Штаты указывают на её отсутствие. Убедитесь, что ваш подрядчик требует её на каждом пути в его системы (VPN, удалённый рабочий стол, облачные консоли администрирования), глядя на настройки или отчёт аудита, а не на формулировки договора. Руководство: Руководство по многофакторной аутентификации.
- Проверяйте, куда уходят оповещения журналов, а не только наличие журналов. Штаты говорят, что действия записывались, но оповещение до сотрудников безопасности не доходило. Первый шаг — провести проверку, например вход из необычного места и чтение большого файла, и убедиться, что кто-то получает уведомление.
- Закрепите хранение и уничтожение в договоре. Хранение не названо причиной, но входит в обязательные меры. Укажите, как долго подрядчик хранит транскрибированные записи и файлы, когда их удаляет, и требуйте подтверждения удаления. Чем меньше храните, тем меньше можно потерять.
- Ищите незашифрованные хранилища файлов. Штаты говорят, что был получен доступ к незашифрованным файлам. Спросите подрядчика, зашифрованы ли места, где хранится клиническая информация.
- Знайте подрядчиков вашего подрядчика. У пациента может не быть договора с компанией, а данные к ней всё равно поступают. Заранее договоритесь, каким субподрядчикам передаёт данные ваш подрядчик и кто отвечает за уведомление.
Источники (публичные документы)
Факты в этой статье основаны на следующих публичных заявлениях.
- Генпрокурор Нью-Йорка, «Attorney General James Secures Up to $10 Million and Critical Reforms From Companies That Failed to Protect Private Medical Data» (6 ноября 2026) — ag.ny.gov
- Генпрокурор Коннектикута, пресс-релиз (6 ноября 2026) — portal.ct.gov
- Генпрокурор Нью-Джерси, пресс-релиз (6 ноября 2026) — njoag.gov
- The Record, «Medical services company settles with 4 state AGs» (сообщение прессы, вспомогательный источник) — therecord.media
- Федеральная торговая комиссия США, «Credit Freezes and Fraud Alerts» — consumer.ftc.gov
История обновлений
2026-11-08: Первая версия, основанная на пресс-релизах генпрокуроров Нью-Йорка, Коннектикута и Нью-Джерси от 6 ноября 2026 года. Пресс-релиз Мичигана подтвердить не удалось. Мы обновим статью, когда штаты или компании опубликуют новые сведения.
Читайте далее
- Общая картина утечек в американском здравоохранении: US healthcare data breaches (2026) (на английском)
- Компания, хранящая старые медицинские записи: The Aesto Health breach (на английском)
- Ещё один крупный случай в здравоохранении: The AdaptHealth breach (на английском)
- Защита удалённого доступа: Руководство по многофакторной аутентификации
- Как распознать последующее мошенничество: Что такое фишинг?