跳至主要內容
ITD網站資安平台
ITD
搜尋

資安指南

#資料外洩#供應鏈#雲端#事件應變#全球

Aesto Health 資料外洩事件（950 萬筆）：為何一家你從未聽過的公司寄來通知，以及該怎麼做

外包檔案服務商 Aesto Health 向 HHS 通報 9,540,683 人，其雲端於 2025 年 12 月遭未經授權存取。為何你收到通知，以及該怎麼做。

發布於 2026-09-30 更新於 2026-10-19 最後核實 2026-09-30 閱讀時間 4 分鐘
本頁內容

適用對象：曾在美國就診、並收到 Aesto（Aesto Health）來信而不認識該公司的人，他們的家人，以及把病患紀錄交給外部供應商的醫療機構與企業。

本文根據 Aesto 的官方通知、美國衛生與公眾服務部（HHS）的通報入口網站、一份向州檢察長提交的通知信，以及美國各機構的指引與法規（FTC、IRS 及聯邦法規）撰寫。本文不涵蓋攻擊手法。

收到信件的人今天該做什麼

1

在通知頁面查看你的醫療機構

Aesto 的通知表示，該通知代表受涵蓋實體發出，並有一節列明這些實體。Aesto 代表客戶醫療機構寄出、並提交給加州檢察長的範例信件也同樣列出該醫療機構。不要因為不認識這家公司就丟掉信件；請找出你實際就診過的醫療機構名稱。

2

只使用通知中的電話號碼

專線為 833-918-8060（週一至週五，中部時間上午 8 點至晚上 8 點，美國主要假日除外），通知要求你備妥參與編號。所涉資料包括聯絡與保險資訊，因此若有人打電話或寄信說「我是 Aesto」或「關於你醫院的封存紀錄」並索取你的 SSN 或帳號，請不要相信（參見什麼是網路釣魚？）。

3

查看你自己信件提供的監控服務

在提交給加州的範例信件中，客戶醫療機構提供為期 12 個月的免費信用監控會員資格。由於是醫療機構提供，內容與截止日可能因信件而異。請依照你自己信件中的註冊步驟與截止日行事。

4

保護 SSN 與 ITIN：在三大信用機構凍結信用，並取得 IRS IP PIN

信用凍結免費，必須分別向 Equifax、Experian 和 TransUnion 各自申請。

依 IRS 說明，IRS IP PIN 是一組六位數字，可防止他人使用你的 SSN 或 ITIN 報稅。本次外洩資料包括 ITIN，因此使用 ITIN 報稅的人也適用。IP PIN 有效期為一個日曆年，每年會重新產生。若需要完整的美國檢查清單（包括兒童），請參見DentaQuest 會員應該怎麼做。

5

醫療與保險資訊：檢視福利對帳單並申請紀錄

FTC 將你未曾接受之服務的帳單或福利說明（EOB）對帳單，或催收人員來電催討你並不欠的醫療債務，列為醫療身分盜用的徵兆。Aesto 的通知同樣建議檢視 EOB 對帳單，並向保險公司或醫療機構查詢任何你不認得的項目；必要時，可索取從可能存取日期到現在的病歷副本。

6

若涉及駕照或帳號，也要處理該管道

駕照號碼可能被用於信用凍結無法涵蓋的情況。FTC 建議聯絡你所在州的機動車輛管理機關，相關說明見AssuranceAmerica 資料外洩事件。若涉及金融帳戶號碼，請檢視對帳單並通知你的銀行。

病患（你）

你知道你看過的醫療機構

↓ 就醫

醫療機構（受涵蓋實體）

將舊紀錄的遷移與封存交給外部

↓ 供應商

封存服務商（業務夥伴）

存取其雲端環境的部分區域

通知順序

服務商 → 醫療機構（自 2026 年 6 月 26 日起）→ 病患（由 Aesto 代表醫療機構發出通知與信件）

病患通常不知道的是：醫療機構已把紀錄交給服務商

病患紀錄如何流向外部封存服務商，以及外洩通知如何傳到病患手上。依 HIPAA 規定，業務夥伴通知醫療機構，醫療機構再通知當事人（45 CFR 164.410 與 164.404）。此案中，Aesto 代表醫療機構發出公開通知與信件。

發生了什麼事（依 Aesto 通知與公開紀錄）

以下內容取自 Aesto 的通知（日期為 2026 年 6 月 24 日）、HHS 民權辦公室的通報入口網站，以及向加州檢察長提交的範例通知信。

  1. 約 2025 年 12 月 2 日

    依該公司說法，這是資訊可能遭存取或取得之期間的開始。

  2. 約 12 月 18 日

    該公司偵測並遏止一起影響其雲端基礎架構部分區域的網路安全事件，並與外部資安專家展開調查。

  3. 2026 年 5 月 26 日

    經過鑑識調查與人工文件審閱後，該公司確認所涉資訊。

  4. 6 月 24 日

    該公司發布通知。

  5. 6 月 26 日

    該公司開始通知受涵蓋實體客戶，這些客戶的病患資訊位於可能遭存取或取得的檔案中。

  6. 7 月 31 日

    HHS 入口網站上的提交日期（9,540,683 人受影響）。

  7. 8 月 25 日

    提交給加州檢察長的範例通知信日期（針對一家客戶醫療機構）。
9,540,683
受影響人數（HHS 民權辦公室入口網站）
約 17 天
可能遭存取的期間（約 2025 年 12 月 2–18 日）
12 月 2–18 日
可能存取與取得的期間（2025 年，依該公司通知）
12 個月
範例信件中醫療機構提供的免費信用監控
該公司已揭露的資訊
公司
Aesto, LLC（Aesto Health），阿拉巴馬州伯明罕。為受涵蓋實體客戶提供醫療資料遷移與封存服務
受影響環境
其雲端基礎架構的有限部分
所涉資訊
姓名、出生日期、醫療資訊、駕照號碼、僅限金融帳戶號碼、健康保險資訊、ITIN、其他政府識別號碼。少數人的 SSN。因人而異
濫用情形
該公司表示，沒有證據顯示與此事件相關的身分盜用或金融詐欺
HHS 入口網站紀錄
實體類型：Business Associate ／ 類型：Hacking/IT Incident ／ 地點：Network Server
聯絡方式
833-918-8060（週一至週五，中部時間上午 8 點至晚上 8 點，美國主要假日除外）

如何解讀日期

從偵測（約 2025 年 12 月 18 日）到確認所涉資訊（2026 年 5 月 26 日），該公司表示進行了鑑識調查與人工文件審閱。我們找到的寄給個人的範例信件日期為 2026 年 8 月 25 日。本文不評價這段期間，但讀者應採取的行動很明確：既然你已收到信件，請假設你的資訊可能已在他人手中好幾個月，並優先完成凍結與檢查。

為什麼一家你從未聽過的公司會持有你的紀錄？

Aesto 將其業務描述為醫療資料遷移與封存。當醫療機構更換電子健康紀錄或帳務系統，或併入其他組織時，無法單純丟棄舊系統的紀錄。因此，它可能把舊紀錄交給外部封存服務商，由其保存並供日後查詢。

病患從不會看到這個轉移過程。他們去了醫院或診所，卻沒有人告訴他們紀錄之後被送到哪裡。

依美國健康隱私規定（HIPAA），此類服務商被稱為業務夥伴（business associate）。聯邦法規規定了通知順序：業務夥伴發現外洩時，會通知醫療機構（45 CFR 164.410），醫療機構再通知當事人（45 CFR 164.404）。這就是為什麼信件會以 Aesto 的名義寄出，並同時列出你的醫療機構名稱。

病患看不到的事

  • 他們的醫療機構把紀錄交給了哪些服務商
  • 這些紀錄保存多久
  • 服務商的雲端環境
  • 通知以一個他們從未聽過的公司名稱寄出

病患可以做的事

  • 查看通知頁面上的醫療機構名單
  • 以凍結與 IP PIN 讓 SSN 和 ITIN 無法被冒用
  • 透過福利對帳單與病歷副本留意醫療資訊
  • 只使用通知上印製的電話號碼

本網站的觀點：封存紀錄很少被使用，卻可能保存一整組個人資料

舊紀錄的封存在日常照護中很少被開啟，但它可能多年保存完整的姓名、出生日期、保險資訊、SSN 與帳號。此處列出的外洩資料，看起來很像這一整組。資料越少被使用，就越少有人記得它的存在，也越可能在沒有人決定誰保管、保管到何時的情況下留存。

封存會延後刪除的決定，而延後越久，一旦封存外洩受影響的人就越多。對醫療機構而言，第一步應在加強加密之前：列出你交出了哪些資料，並設定歸還或銷毀的日期。

給醫療機構與企業：供應商盤點與封存紀錄的退還或銷毀日期

1

盤點每一個持有病患資料的供應商

電子健康紀錄與帳務遷移、舊紀錄封存、帳務服務、文件掃描。列出每一個持有病患資料的供應商，不論是哪個部門簽約，並為每一家記下保存多少年、涉及多少人、包含哪些欄位（包括 SSN 或帳號），以及存放於哪個雲端。

在像此案這樣涉及眾多客戶醫療機構的事件中，這份清單就是你開始判斷自己是否受影響的起點。做法與安全盤點相同。

2

為封存紀錄設定退還或銷毀日期

確認法律與契約要求的保存期間，並將超過期限之紀錄的刪除程序納入契約與日常作業。

聯邦法規要求業務夥伴契約規定，契約終止時，業務夥伴在可行的情況下須退還或銷毀所有受保護健康資訊，且不得保留副本（45 CFR 164.504(e)(2)(ii)(J)）。契約結束時，請確認退還或銷毀確實已完成。

3

減少送往外部封存的資料量

將紀錄從舊系統移出時，逐一欄位詢問 SSN 與帳號是否真的需要一起移出。移除查詢不需要的欄位，可以縮小可能外洩的範圍。關於保存與備份的一般做法，請參見備份基礎。

4

能快速說明哪些人的紀錄在其中

該公司表示，確認所涉資訊需要人工文件審閱。如果你清楚知道，對於所有交出的資料，哪些檔案保存了哪些人的紀錄與哪些欄位，就能在事件後更快識別受影響的人，並規劃如何聯絡聯絡資料已過時的人。整體做法請參見組織資安最低基準。

資料來源（公開紀錄）

本文事實根據以下公開資訊。本文不採用媒體估計，也不採用對未揭露成因的推測。醫療機構在本文中以角色描述。

  • Aesto, LLC d/b/a Aesto Health，《Notice of Data Security Incident》（2026 年 6 月 24 日）— aestohealth.com
  • HHS 民權辦公室，《Breach Portal: Cases Currently Under Investigation》（Aesto, LLC：9,540,683 人受影響；2026 年 7 月 31 日提交）— ocrportal.hhs.gov
  • 加州檢察長，Aesto 範例通知信（針對一家客戶醫療機構提交，2026 年 8 月 25 日）— oag.ca.gov
  • 聯邦法規彙編，45 CFR 164.404 與 164.410（外洩通知）及 164.504(e)（業務夥伴契約）— ecfr.gov
  • 美國聯邦貿易委員會（FTC），《What To Know About Medical Identity Theft》— consumer.ftc.gov ／《Credit Freezes and Fraud Alerts》— consumer.ftc.gov ／ IdentityTheft.gov
  • 美國國稅局（IRS），《Get an identity protection PIN》— irs.gov

更新紀錄

2026-10-19：修正搜尋標題，避免暗示 950 萬人全都涉及 SSN。保留官方的區分：資料項目因人而異，SSN 可能僅涉及少數人。

2026-09-30：首版，依據 Aesto 通知（2026 年 6 月 24 日）、HHS 民權辦公室通報入口網站（2026 年 7 月 31 日提交）、提交給加州檢察長的範例通知信、FTC 與 IRS 指引，以及聯邦法規撰寫。若該公司或監管機關公布更多資訊，我們將更新本文。

延伸閱讀

FAQ

QAesto Health 是什麼？
A

根據其通知，位於阿拉巴馬州伯明罕的 Aesto, LLC（Aesto Health）為其客戶提供醫療資料遷移與封存服務。HIPAA 將這些客戶稱為受涵蓋實體（醫療機構及類似組織）。它並非病患會直接接觸的公司，因此許多收件人不認得這個名稱。

Q發生了什麼事？
A

Aesto 表示，約在 2025 年 12 月 18 日，它遭遇一起網路安全事件，影響其雲端基礎架構的有限部分。它已遏止事件並展開調查；經過廣泛的鑑識調查與人工文件審閱後，它於 2026 年 5 月 26 日確認，自約 2025 年 12 月 2 日至 12 月 18 日，多個受涵蓋實體客戶病患的受保護健康資訊可能已遭未經授權的行為者存取及／或取得。

Q有多少人受影響？
A

美國 HHS 民權辦公室的通報入口網站列出 Aesto, LLC（實體類型：Business Associate）有 9,540,683 人受影響，提交日期為 2026 年 7 月 31 日，事件類型為「Hacking/IT Incident」，地點為「Network Server」。

Q哪些資訊外洩？
A

Aesto 的通知列出全名、出生日期、醫療資訊、駕照號碼、僅限金融帳戶號碼、健康保險資訊、個人納稅人識別號碼、其他政府識別號碼，以及社會安全號碼。涉及的項目因人而異，社會安全號碼可能涉及少數人。

Q為何通知花了這麼久？
A

Aesto 表示，它約在 2025 年 12 月 18 日偵測到此事件，並於 2026 年 5 月 26 日，經過廣泛的鑑識調查與人工文件審閱後，確認所涉資訊。它於 2026 年 6 月 26 日開始通知其受涵蓋實體客戶。本文不評價這段期間，只記錄該公司通知與公開紀錄中的日期。

Q我如何確認自己是否受影響？
A

Aesto 的通知表示，該通知代表受涵蓋實體發出，並包含一節列明這些實體。請檢查你曾就診的醫療機構是否在名單上。若不確定，請撥打通知中的專線 833-918-8060（週一至週五，中部時間上午 8 點至晚上 8 點，美國主要假日除外），並提供通知中的參與編號。

Q我收到一封信，該怎麼辦？
A

若信中提供免費信用監控，請在截止日前完成註冊。向 Equifax、Experian 和 TransUnion 申請信用凍結，取得 IRS IP PIN（適用於 SSN 或 ITIN），並檢查你的福利說明（EOB）對帳單，看有無你未接受過的醫療服務。若涉及駕照號碼，請聯絡州機動車輛管理機關；若涉及金融帳戶號碼，請聯絡你的銀行。