适用对象：收到 Photon Health 或 Blueberry Pediatrics 通知信的人，以及任何运行自行托管分析工具的人。本文基于 Photon Health 的通知、俄勒冈州总检察长的数据泄露名单以及 Blueberry Pediatrics 的消费者信件样本，不涉及攻击手法。
事态发展中：本文将随机构发布更多信息而更新
截至 2026 年 10 月 31 日尚不清楚
- Photon Health 受影响的总人数
- 本次事件与其他机构通知之间的关系
- 公司是否会公布更多调查详情
Photon Health 于 2026 年 10 月 8 日发布了通知，尚未说明受影响的人数。Blueberry Pediatrics 的数字（340,915）来自其向俄勒冈州总检察长提交的报告，是另一家公司的数字。
受影响者今天应该做什么
不要照做关于处方、退款或保险理赔的电话、短信或邮件
这些项目把您的姓名、地址、电话号码和出生日期与药物信息结合在一起。这足以让来电者听起来可信。
如果有人就“处方问题”“退款”“药房账户”或保险理赔联系您，请挂断并回电，使用您自己查到的号码，例如保险卡上的号码或药房网站上的号码。该模式参见什么是网络钓鱼？。
绝不要向主动联系您的人提供社会安全号码、卡号或一次性验证码
Photon 称，社会安全号码和财务信息未受影响。如果来电者仍然索要这些信息，那就不是 Photon 描述过的任何步骤。
只通过您的信件使用信用监控服务
Photon 称，提供为期 12 至 24 个月的免费信用监控和身份盗用保护。注册步骤在通知信中；网页通知中没有重复。不要通过意外邮件或短信中的链接注册。
查看保险公司的对账单，留意您没有接受过的服务
如果您的健康计划详情在涉及的项目中（它们列在 Blueberry Pediatrics 的信件中，而不在 Photon 的通知中），请查看福利说明对账单中您不认识的费用，并告知您的保险公司。
只通过通知中的号码向公司咨询
Photon 的通知提供了一条电话热线：1-844-772-5746，美国东部时间周一至周五 8:00 至 20:00，节假日除外。请使用通知或信件中的联系方式，而不要使用您收到的消息中给出的联系方式。
发生了什么（依据通知）
除另有说明的来源外，以下内容均如 Photon Health 2026 年 10 月 8 日的通知所述。
2026 年 8 月 21 日
Photon Health 称其得知了此事件。9 月 4 日
Photon 称其对受影响数据的审查已完成。10 月 8 日
Photon 发布了通知，并正在通知其信息可能受到涉及的人。
- 涉及对象
- 其信息可能被涉及的人；数量未说明
- 项目
- 姓名、地址、电话号码、出生日期、处方药物信息；因人而异
- 未受影响
- 社会安全号码和财务信息，公司称其不收集也不保存
- 原因（公司的说法）
- 未经授权的第三方利用了分析工具（Metabase）中一个此前未知的漏洞；Photon 在自己的基础设施上运行该工具，用于商业智能、产品指标和客户仪表板
- 滥用
- 没有发现受影响信息被滥用或企图滥用的证据
- 公司应对
- 聘请网络安全专家进行调查、遏制和修复；公司称其分析工具环境是安全的，并正在审查其技术保障措施
- 支持
- 12 至 24 个月的免费信用监控和身份盗用保护；电话热线 1-844-772-5746
一项相关的披露：Blueberry Pediatrics（列出 340,915 人）
俄勒冈州总检察长的数据泄露名单中，有一条 Blueberry Pediatrics 于 2026 年 10 月 10 日提交的报告，“Number Affected”（受影响人数）一栏为 340,915（该页面称这是初次提交时的数字），泄露期间为 2026 年 8 月 10 日至 8 月 22 日，发现日期为 8 月 26 日，通知于 10 月 9 日发出。该名单没有单独列出俄勒冈州的数量。模板通知给出的发现日期是 8 月 22 日，所以两个来源并不一致。由于患者是儿童，Blueberry 的通知发给家长和监护人。
Blueberry 的消费者信件样本（提交给加利福尼亚州总检察长；模板使用的名称是 Blueberry Medical）称，一名犯罪者利用其技术提供商之一 Metabase 的漏洞，窃取了部分患者数据的副本。它列出了姓名、健康计划名称和保单号码、出生日期，以及医疗记录、服务日期、医疗代码和服务费用等医疗保健信息。它称社会安全号码和支付信息不在其中，而为诊断发送的照片和视频单独存放，未受到损害。
这是另一家公司的数字。请不要把它加到 Photon 的数字上，Photon 的数字尚未公布。
加利福尼亚州总检察长的数据泄露名单中也有一条 Photon Health 的记录，给出的泄露日期为 2026 年 8 月 10 日。该日期与 Photon 通知中的 8 月 21 日不同，后者是公司称其得知此事的日期。本文按各来源所述使用日期。
我们知道什么、不知道什么
截至 2026 年 10 月 31 日。有更多信息发布时，本表将被改写。
| 项目 | 公布的内容 | 状态 |
|---|---|---|
| 对 Photon 某分析工具的未经授权访问 | 利用了分析工具中一个此前未知的漏洞 | 已确认（公司） |
| 涉及的项目 | 姓名、地址、电话号码、出生日期、处方药物信息 | 已确认（公司） |
| 社会安全号码、财务信息 | 公司不收集也不保存 | 已排除（公司） |
| 数据的滥用 | 没有滥用或企图滥用的证据 | 无证据（公司） |
| Photon 受影响的人数 | 通知未说明 | 未公布 |
| 公司得知的日期 | 2026 年 8 月 21 日（加利福尼亚州名单显示泄露日期为 8 月 10 日） | 已确认（公司）；各来源日期不同 |
| Blueberry Pediatrics 受影响的人数 | 340,915（俄勒冈州总检察长名单） | 已确认（另一家公司） |
| Photon 的密码、健康计划详情 | Photon 的通知中未列出 | 未说明 |
| Photon 与 Blueberry 通知之间的联系 | 在所查看的两份文件中均未提及 | 未说明 |
这些项目的组合可能被用来做什么
姓名、地址、电话号码和出生日期，在过去的许多数据泄露中都能找到。这里不同寻常的是，它们旁边还有处方药物信息，这会让关于某种药物、续方或保险理赔的诈骗电话听起来很真实。这是这类数据一般会发生的情况；并不表示本案中已经发生。
姓名 + 电话号码 + 药物
↓→
关于续方或保险理赔、令人信服的电话
→ 挂断；拨打您自己查到的号码
姓名 + 地址 + 出生日期
↓→
利用您信息的假冒信件、短信或邮件
→ 不要点击链接；在官方网站上确认
未受影响（Photon 称）
- 社会安全号码
- 财务信息
可能已被涉及（因人而异）
- 姓名和地址
- 电话号码
- 出生日期
- 处方药物信息
如何理解：“没有滥用的证据”并不等于“从此安全”
Photon 称没有发现滥用或企图滥用的证据。出生日期不会改变，因此这些数据可能在数月甚至数年之后被用于消息之中。对于借此事件联系您的人，请谨慎对待。
面向运营分析工具的人
Photon 称，该工具是它自己运行的，用于报告和客户仪表板，并且一个此前未知的漏洞被利用。本节只涉及已公布的事实所能支持的内容。该漏洞的详情见本站关于 CVE-2026-72898 的警报，受同一产品影响的其他机构见关于 Metabase 漏洞数据泄露的文章。
列出您的分析工具可以读取的数据
这类工具通常连接到生产数据库。它能读取什么，一旦被入侵，就可能泄露什么。就 Photon 而言，药物信息之类的项目是可以通过报表工具访问到的。请检查该工具做分析究竟需要哪些表和列，并去掉其余的。
弄清楚哪些工具由您自己运行、哪些由供应商运行
Photon 称该工具是自行托管的，这意味着更新和暴露面是运营者的责任。请保留一份您所运行的自行托管工具的清单，以及获知其安全修复的渠道（背景知识：osv-scanner）。
为事件发生到发出通知之间的时间做好计划
按公司的说法，从得知此事（8 月 21 日）到发出通知（10 月 8 日），过去了大约七周。请预先确定由谁审查受影响的数据、由谁批准通知，这样审查就不会成为瓶颈。
参考来源（公开记录）
本文的事实来自以下公开来源。对尚未公布的原因和数量不做推测。
- Photon Health，《数据安全事件通知》（2026 年 10 月 8 日；标题为英文原文的译文）— PR Newswire
- 加利福尼亚州总检察长，关于 Photon Health 的数据泄露报告 — oag.ca.gov
- 俄勒冈州司法部，数据泄露通知名单（Blueberry Pediatrics，2026 年 10 月 10 日报告）— justice.oregon.gov
- Blueberry Pediatrics（Blueberry Medical），提交给加利福尼亚州总检察长的消费者通知模板 — oag.ca.gov（PDF）
更新记录
2026-10-31：首次发布，依据 Photon Health 10 月 8 日的通知以及上述监管机构的名单。Photon 尚未公布数量；如果公布，本文将随之更新。
延伸阅读
- 同一漏洞，其他机构：Metabase 漏洞数据泄露（Trezor、Framework、n8n 等）
- 诈骗电话和消息：什么是网络钓鱼？ / 智能手机安全基础
- 另一起美国医疗保健案例：AdaptHealth 数据泄露事件 / 2026 年美国医疗保健数据泄露
- 2026 年其他事件：数据泄露与网络攻击一览（日本与全球）