Aesto Health数据泄露（950万人）：为何一家你从未听说过的公司寄来了通知，以及该怎么做

Aesto的通知称，该通知代表受保护实体发布，并包含一节列出相关实体。提交给加利福尼亚州总检察长的样本信件同样由Aesto代表某个客户医疗机构发出，并列出了该机构。不要因为不认识这家公司就扔掉信件；请查找你实际使用过的医疗机构名称。

专线为833-918-8060（周一至周五，中部时间上午8点至晚上8点，美国主要节假日除外），通知要求你准备好其中的参与编号（engagement number）。所涉数据包括联系方式和保险信息，因此，如果有人致电或发邮件称“我是Aesto”或“关于你医院的归档病历”并索要你的社会安全号码或账户号码，请不要相信（参见什么是网络钓鱼？）。

在提交给加利福尼亚州的样本信件中，客户医疗机构提供了为期12个月的免费信用监控服务。由于是医疗机构提供，具体细节和截止日期可能因信件而异。请按照你自己信件中的注册步骤和截止日期操作。

信用冻结是免费的，必须分别在Equifax、Experian和TransUnion各家办理。

根据IRS说明，IRS IP PIN是一个六位数字，可防止他人使用你的社会安全号码或ITIN报税。此处的泄露数据包括ITIN，因此即使你使用ITIN报税，这也适用。IP PIN在一个日历年内有效，每年会生成新的号码。关于包括儿童在内的完整美国检查清单，请参见DentaQuest会员应采取的措施。

FTC将你未接受过的服务的账单或福利明细（EOB）单，或催收人员就你并不欠的医疗债务打来电话，列为医疗身份盗窃的迹象。Aesto的通知同样建议核对你的EOB账单，并向你的保险公司或医疗机构核实任何你不认识的内容；必要时，可索取从潜在访问之日起至今的病历副本。

驾驶证号码可能被用于信用冻结无法覆盖的情形。FTC建议联系你所在州的机动车管理机构，此内容在AssuranceAmerica泄露事件中有说明。如果涉及金融账户号码，请检查你的对账单并通知你的银行。

电子健康记录和账单迁移、旧病历归档、账单服务、文件扫描。列出每一家持有患者数据的服务商，无论是哪个部门签署的合同，并为每一家记录下保存年限、涉及人数、包含哪些字段（包括社会安全号码或账户号码），以及使用的是哪一个云。

在像此次这样涉及众多客户医疗机构的事件中，这份清单是你开始判断自己是否受影响的起点。方法与安全资产盘点相同。

确认法律和合同要求的保存期限，并将超过期限记录的删除程序写入合同并落实到日常运营中。

联邦规定要求业务伙伴合同规定，在终止时，业务伙伴将在可行的情况下归还或销毁所有受保护健康信息，且不保留副本（45 CFR 164.504(e)(2)(ii)(J)）。合同结束时，请确认归还或销毁确实已经完成。

从旧系统迁移记录时，逐个字段询问社会安全号码和账户号码是否真的也需要迁移。去掉检索不需要的字段，可以减少可能泄露的内容。关于一般的保存和备份，请参见备份基础。

公司称，确认所涉信息需要人工文件审查。如果你清楚已交出的所有记录中，哪些文件包含哪些人的记录以及哪些字段，就能在事件后更快地确定受影响人员，并规划如何联系那些联系方式已过时的人。总体方法请参见组织安全最低基线。