Утечки медицинских данных в США (2026): основные случаи и как проверить уведомление

Письмо от поставщика обычно называет медицинскую организацию, услугами которой вы действительно пользовались, или сообщает, что оно отправлено от её имени.

Например, образец письма Xsolis начинается с объяснения, что ваша медицинская организация пользуется услугами поставщика Xsolis по управлению случаями и использованием услуг. Baylor Genetics сообщает, что получила данные пациентов от своих сторонних клиентов, например, от медицинских организаций, которые назначили анализы.

Прежде всего ищите название больницы, страховщика или работодателя, которое вам знакомо.

Введите ocrportal.hhs.gov в браузере вручную (а не по ссылке или QR-коду из письма), выберите «View HIPAA Breach Reports» и найдите компанию. В списке указаны название организации, штат, тип (поставщик или деловой партнёр), число затронутых людей и дата подачи отчёта.

В портал попадают только нарушения, затронувшие 500 и более человек, а утечка у поставщика иногда сообщается под названием медицинской организации, поэтому само отсутствие в списке ещё не доказывает, что письмо поддельное.

В реестре нарушений генерального прокурора Калифорнии (oag.ca.gov/privacy/databreach/list) опубликован образец уведомления, который подаёт каждая компания. Пять из наших шести случаев есть в этом реестре (NYC Health + Hospitals мы не нашли при проверке).

Положите своё письмо рядом с образцом и сравните номер горячей линии, домен сайта регистрации в мониторинге кредитной истории и срок регистрации. Образцы являются шаблонами, в которых имена и коды оставлены пустыми, поэтому проверьте, совпадают ли формат текста и контактные данные.

Настоящая регистрация в мониторинге кредитной истории запрашивает SSN, и именно поэтому никогда не вводите его на сайте, который вы не проверили.

QR-коды есть и в настоящих письмах (образцы Baylor Genetics и CareCloud содержат QR-коды для регистрации), поэтому не судите по наличию QR-кода. Судите по тому, совпадает ли домен назначения с образцом, поданным в штат. Не «подтверждайте» SSN, номер карты или пароль по звонку или сообщению, которое вы не инициировали (см. что такое фишинг?).

Зарегистрируйтесь в мониторинге до истечения срока, затем:

• Если был затронут ваш SSN, установите заморозку кредитной истории в Equifax, Experian и TransUnion
• Также получите IRS IP PIN (номер, который блокирует подачу налоговых деклараций на ваше имя другими лицами)
• Проверяйте выписки Explanation of Benefits на предмет услуг, которых вы не получали

Полный чек-лист для США, включая детей, размещён на одной странице в нашей статье о DentaQuest. Если были затронуты учётные данные онлайн-аккаунтов, как указано в уведомлении NYC Health + Hospitals, смените и эти пароли.

Электронные медицинские карты, выставление счетов и управление практикой, управление использованием услуг, администрирование льгот, лабораторные исследования, архивирование карт. Перечислите каждую компанию, которая хранит данные пациентов или участников программы, независимо от того, какой отдел подписал договор, с указанием полей, которые вы передаёте (включая SSN, сканы документов или биометрию), количества записей и количества лет.

Большинство этих уведомлений проходят путь от поставщика к медицинской организации и затем к пациенту. Без такого списка, когда поставщик звонит, вы не сможете быстро сказать, сколько ваших пациентов затронуто и какие поля. Подход такой же, как в инвентаризации безопасности.

Федеральные нормативные акты требуют, чтобы договоры с деловыми партнёрами предусматривали, что деловой партнёр будет:

• (1) сообщать покрываемой организации о любом использовании или раскрытии, не предусмотренном договором, включая утечки (45 CFR 164.504(e)(2)(ii)(C));
• (2) обеспечивать, чтобы его субподрядчики соглашались с теми же ограничениями (пункт D); и
• (3) при прекращении договора, если это осуществимо, вернуть или уничтожить всю защищённую медицинскую информацию и не хранить копий; если это невозможно, продлить договорные гарантии и ограничить дальнейшее использование и раскрытие целями, которые делают возврат или уничтожение невозможными (пункт J).

Пункт (3) требует шага, который проверяет завершённый возврат или уничтожение либо продолжение защиты и ограничения целей, если это невозможно. Используйте колонку «завершённые договоры», чтобы проверить, какие данные пациентов остаются и какие условия защищают и ограничивают их использование.

Xsolis сообщает, что её инцидент стал результатом целевой фишинговой атаки. Агентство США по кибербезопасности и инфраструктуре (CISA) указывает на FIDO/WebAuthn (ключи доступа и ключи безопасности FIDO2) как на широко доступный устойчивый к фишингу вариант.

Начните с административных учётных записей, которые имеют доступ к данным пациентов, и удалённого доступа. Добавьте одну строку в анкету поставщика при выборе и продлении договора: «Используете ли вы устойчивую к фишингу многофакторную аутентификацию для административных учётных записей и удалённого доступа?» О том, как злоумышленникам передают коды многофакторной аутентификации, рассказано в статье о DentaQuest.

В уведомлении Unlimited Technology Systems говорится, что в зависимости от человека могли быть затронуты сканы государственных удостоверений и страховых карточек. NYC Health + Hospitals также указывает, что у некоторых людей могли быть затронуты отпечатки пальцев и ладоней.

SSN и биометрические данные нельзя изменить. Самый надёжный способ уменьшить ущерб при утечке — пройти поле за полем по тому, что вы передаёте каждому поставщику, и спросить себя, действительно ли эта задача требует этих данных.

Как показывают письма, за каждым инцидентом следует проверка того, чьи записи и какие поля были затронуты. В целом, если в обычное время вы знаете, в каких файлах хранятся чьи записи и какие поля, определение затронутых людей после инцидента проходит быстрее.

Общие базовые требования см. в статье минимальный базовый уровень безопасности для организаций.