适用对象：收到过 2023 年 Perry Johnson & Associates（PJ&A）数据泄露通知的人，以及外包转录、编码或计费业务的医疗机构。本文基于纽约州、康涅狄格州和新泽西州总检察长的新闻稿，不涉及攻击手法。
事态发展中：本文将随机构发布更多信息而更新
- 适用对象
收到过 2023 年 Perry Johnson & Associates（PJ&A）数据泄露通知的人，以及外包转录、编码或计费业务的医疗机构。
- 已确认的影响范围查看表格 ↓
- 涉及人数
- 泄露的项目
- 尚未确认的事项
- 密歇根州的新闻稿及其数字
- 和解文件如何处理各公司的责任
- 按委托方医疗机构划分的受影响人数
另外1项
- 和解之后是否还有进一步的通知或支持
- 现在要做的事查看步骤 ↓
- 确认信用冻结仍然有效
- 在福利说明中查看有没有您没有接受过的医疗服务
- 假定诊断和检查结果已经泄露，并做好应对威胁的准备
另外2项
- 警惕以和解为借口的消息
- 问问通知您的医疗机构，为什么这家公司持有您的数据
- 核实来源（出处）全部来源 ↓
- 纽约州总检察长，《Attorney General James Secures Up to $10 Million and Critical Reforms From Companies That Failed to Protect Private Medical Data》（2026 年 11 月 6 日）— ag.ny.gov
- 最后核实
- 截至 2026 年 11 月 8 日
续报计划与核实记录
新闻稿没有提到后续信息。截至 2026 年 11 月 8 日，本站已确认纽约州、康涅狄格州和新泽西州的新闻稿，无法确认密歇根州的新闻稿。
如果您收到过通知，今天该做什么
确认信用冻结仍然有效
泄露的项目中包括社会安全号码，因此这是最有效的一步。您可以向 Equifax、Experian 和 TransUnion 申请免费的安全冻结。如果您在收到 2023 年的通知后设置过冻结，请确认它没有被解除。参考来源中的美国联邦贸易委员会（FTC）页面介绍了方法。
在福利说明中查看有没有您没有接受过的医疗服务
姓名、出生日期、保险信息和医院账号放在一起，可能被用来以他人的名义就医或开具账单。请查看保险公司的福利说明，看有没有您不认识的就诊、处方或设备。如果发现，请联系保险公司和所列的医疗机构。
假定诊断和检查结果已经泄露，并做好应对威胁的准备
转录文件中包含检查结果和药物名称。如果有人声称知道您的诊断并索要钱款，不要支付；请联系 FTC 或警方。新闻稿没有说发生过这类联系。这是一般情况下可能发生的事，所以请做好准备。
警惕以和解为借口的消息
新闻稿没有说受害者会获得赔付。凡是关于“和解赔付”“账户核对”或“手续费”的电话或消息，只要是主动找上门的，就应视为可疑。请自己打开所在州总检察长的官方网站确认（识别方法：什么是网络钓鱼？）。
问问通知您的医疗机构，为什么这家公司持有您的数据
据纽约州的新闻稿，PJ&A 为全美的医疗机构提供编码、计费和录音等服务。对患者而言，这是一家您从未与之签约的公司。您可以询问为您诊疗或向您发出通知的医疗机构，您的数据在多大范围内与其承包商共享。
发生了什么（依据总检察长的新闻稿）
本节基于纽约州、康涅狄格州和新泽西州总检察长 2026 年 11 月 6 日的新闻稿。这是各州的说法，并非各公司的说法。涉及的公司为 Perry Johnson & Associates, Inc.（PJ&A）、Perry Johnson, Inc.（PJI）、Perry Johnson & Associates Coding, Inc.、Perry Johnson & Associates Radiology, Inc. 和 Medical Transcription and Coding, Inc.，新闻稿称之为“Perry Johnson 各公司”。
员工凭据
远程访问没有多重身份验证
↓→
数月的访问
活动被记录，但没有发出警报
↓→
被发现
大约两个月后，黑客主动联系
这是各州的说法，并非各公司的说法。
2023 年 3 月
据各州称，黑客使用了 PJ&A Coding 一名员工的凭据访问 PJ&A 的系统。随后的几个月
黑客收集了密码并访问了未加密的文件（各州的说法）。大约两个月后
PJ&A 直到黑客联系它时才得知发生了泄露（各州的说法）。2026 年 11 月 6 日
四个州的总检察长宣布达成和解。
- 公司
- Perry Johnson & Associates, Inc.（PJ&A）及四家关联公司
- 数据泄露
- 2023 年 3 月；全美约 1330 万人
- 各州人数
- 纽约州居民约 420 万人；新泽西州约 539,669 人；康涅狄格州约 107,960 人。密歇根州未能确认
- 泄露的项目
- 姓名、出生日期、家庭住址、社会安全号码；医院账号、诊断、保险信息；转录文件中的临床信息（实验室和诊断检查结果、药物名称）
- 和解金额
- 最高 1000 万美元。至少 30 万美元的罚款支付给各州；如果各公司未能履行协议条款，另有 9,700,000 美元须支付给各州
- 各州金额
- 纽约州：至少 10 万美元的罚款和费用。康涅狄格州：66,666 美元。新泽西州：其新闻稿未说明
- 文件类型
- 新泽西州的新闻稿链接了一份自愿遵守保证书（Assurance of Voluntary Compliance）。其他新闻稿的正文没有指明文件名称
各州所称的原因
新闻稿描述了以下情况。这是各州的说法，并非各公司的声明。
| 项目 | 各州的说法 | 状态 |
|---|---|---|
| 涉及人数 | 全美约1330万人 | 已确认（各州） |
| 泄露的项目 | 姓名、出生日期、地址、社会安全号码、医院账户号码、诊断、保险信息和临床信息 | 已确认（各州） |
| 进入方式 | 使用了 PJ&A Coding 一名员工的凭据 | 各州的说法 |
| 远程访问 | 不要求多重身份验证 | 各州的说法 |
| 文件 | 访问了未加密的文件；收集了密码 | 各州的说法 |
| 日志监控 | PJI 的软件记录了这些活动，但没有配置为向安全人员发出警报 | 各州的说法 |
| 发现 | 大约两个月后，在黑客联系公司时 | 各州的说法 |
| 凭据是如何获得的 | 新闻稿中没有 | 未说明 |
| 数据保存期限是否为原因 | 没有被列为原因；保存期限只出现在要求的改进措施中 | 未说明 |
| 各公司是否承认违规 | 纽约州和康涅狄格州的新闻稿中没有 | 未说明 |
如何理解：和解不等于法院裁定违法
纽约州新闻稿的标题称各公司“Failed to Protect”（未能保护）私人医疗数据，但没有任何一份新闻稿说各公司违反了法律，或承认了责任。除新闻稿所述之外，本站不断言各公司违法。
各公司必须做什么
各份新闻稿共同提到的改进措施有：
- 维持全面的信息安全计划和事件响应流程
- 落实多重身份验证、密码管理、加密和资产管理方面的保护措施和政策
- 每年进行符合 HIPAA 的风险评估
- 维持规范个人健康信息的收集、使用、保存和处置的政策与程序
新泽西州的新闻稿没有描述独立监督员或报告时间表。
这样一组数据可能导致什么
一般而言，下面这样的组合可能被滥用。这并不表示本案中已发生。
- 姓名 + 出生日期 + 社会安全号码 + 地址：试图开立账户或申请信贷，或骗领退税
- 姓名 + 保险信息 + 医院账号：以他人名义就医或开具账单
- 诊断和药物名称：利用对其健康状况的了解，进行令人信服的联系或威胁
医疗机构和委托方可以借鉴什么
各州的说法中有一些要点，委托方可以用来检查自己对承包商的监督。本节只依据已公布的内容，并把它转化为可以在自己的合同和系统中核实的事项。
- 远程访问的多重身份验证。 各州指出其缺失。请通过查看设置或审计报告，而不是合同条文，确认承包商在进入其系统的每条途径（VPN、远程桌面、云管理控制台）上都有此要求。指南：多重身份验证入门。
- 测试日志警报发往哪里，而不只是确认有日志。 各州称活动被记录了，但没有警报送达安全人员。第一步是做一次测试，例如从异常地点登录并读取大量文件，确认有人收到通知。
- 在合同中约定保存和处置。 保存期限没有被列为原因，但出现在要求的改进措施中。请写明承包商将转录的录音和文件保存多久、何时删除，并要求提供删除证明。持有得越少，可能损失的就越少。
- 查找未加密的文件存储。 各州称未加密的文件被访问。请询问承包商，存放临床信息的位置是否已加密。
- 了解承包商的承包商。 患者可能与某家公司没有任何合同，数据却流向了它。请事先约定承包商把业务转包给谁，以及谁负责通知。
参考来源（公开记录）
本文的事实依据以下公开声明。
- 纽约州总检察长，《Attorney General James Secures Up to $10 Million and Critical Reforms From Companies That Failed to Protect Private Medical Data》（2026 年 11 月 6 日）— ag.ny.gov
- 康涅狄格州总检察长，新闻稿（2026 年 11 月 6 日）— portal.ct.gov
- 新泽西州总检察长，新闻稿（2026 年 11 月 6 日）— njoag.gov
- The Record，《Medical services company settles with 4 state AGs》（媒体报道，作为佐证）— therecord.media
- 美国联邦贸易委员会（FTC），《Credit Freezes and Fraud Alerts》— consumer.ftc.gov
更新记录
2026-11-08：首次发布，依据纽约州、康涅狄格州和新泽西州总检察长 2026 年 11 月 6 日的新闻稿。无法确认密歇根州的新闻稿。各州或各公司发布更多信息后，本文将随之更新。
延伸阅读
- 美国医疗数据泄露的整体情况：US healthcare data breaches (2026)（英文）
- 持有旧医疗记录的公司：The Aesto Health breach（英文）
- 另一起大型医疗相关案例：The AdaptHealth breach（英文）
- 保护远程访问：多重身份验证入门
- 识别后续诈骗：什么是网络钓鱼？