適用對象：美國DentaQuest的會員、前會員，以及會員未成年子女的家長，以及負責機構登入、MFA或服務台的人員。本文根據以下公開來源撰寫，不涵蓋攻擊技術。
- DentaQuest自己的通知與寄給受影響者的信件
- 其向美國各州總檢察長提交的文件
- 美國政府指引（FTC、IRS、Medicare、CISA）
受影響的會員今天應該做什麼
確認您是否受影響——只使用信上的號碼
DentaQuest於2026年7月17日開始寄出信件。針對成人、未成年人及已故者，分別提交了不同版本的通知。該公司也在其網站上公布了相同資訊，以便聯絡不到的人查閱。如有疑問，專線客服電話為(844) 959-7163，週一至週五，美國中部時間上午8:00至下午5:30。由於資料包含電話號碼與地址，請不要相信自稱來自DentaQuest、並要求您「確認」社會安全號碼或會員號碼的來電或簡訊；請改撥信上印出的號碼（另見什麼是網路釣魚？）。
在截止日前註冊免費身分監控
信中提供24個月的免費身分監控，涵蓋信用監控、詐騙諮詢與身分盜用復原服務。信中表示您有自信件寄出日起90天的期限，可使用信中的啟用代碼註冊。監控是在詐騙發生後才告知您；下一步的信用凍結，才能防止他人以您的名義開立新帳戶。
在Equifax、Experian與TransUnion凍結信用
FTC表示，信用凍結生效期間，任何人都無法以您的名義開立新的信用帳戶。此服務免費，不影響您的信用評分，並會持續有效直到您解除為止。您必須分別聯絡三家信用機構。需要申請信貸時，您可以在貸方所使用的信用機構暫時解除凍結。詐欺警示是較輕的選項，會要求貸方先核實您的身分；初始詐欺警示的有效期為一年。
申請IRS身分保護PIN
IP PIN是一組六位數號碼，根據IRS的說明，可防止他人以您的社會安全號碼申報報稅。持有社會安全號碼或ITIN並能核實身分的人都可以註冊，即使其本身不需要報稅。最快的方式是透過您的IRS線上帳戶。家長與監護人也可以為受扶養人申請。
檢查福利說明書，並留意您的Medicaid或Medicare號碼
FTC將醫療身分盜用描述為：有人使用您的姓名、社會安全號碼、健康保險號碼或Medicare號碼來接受醫療服務或提出理賠。警訊包括收到您未接受之醫療服務的帳單或福利說明書，或有討債公司來電催討您並不欠的醫療債務。如果您認為有人冒用您的Medicare號碼，Medicare表示請致電1-800-MEDICARE（1-800-633-4227），且Medicare絕不會主動致電要求您提供個人資訊。若是Medicaid號碼，適用FTC的建議：請聯絡健康計畫，以及可能使用了您資訊的醫療服務提供者，並要求提供紀錄。Medicare與Medicaid的詐欺也可向HHS監察長辦公室（Office of Inspector General）熱線（1-800-HHS-TIPS）通報。
家長：也為孩子凍結信用
DentaQuest為未成年人另寄了一封信，因此兒童也在通知對象之列。FTC表示，若您的孩子未滿16歲，您可以為孩子的名義申請免費信用凍結；此凍結會持續有效，直到您要求信用機構解除為止，且各信用機構對未成年人有各自的程序。若要為未滿18歲的孩子申請IP PIN，IRS表示您必須使用其替代註冊方式之一。
若遭到冒用，請至IdentityTheft.gov擬定復原計畫
如果您發現有您未申請的帳戶、報稅紀錄或醫療理賠，請至IdentityTheft.gov通報。FTC網站會詢問發生了什麼事，並協助建立個人復原計畫。DentaQuest的信件也建議，若您懷疑遭遇身分盜用，應聯絡當地警方。
社會安全號碼＋姓名＋出生日期
↓→
新的信貸、偽造的報稅
→ 在三大信用機構凍結信用＋IRS IP PIN
Medicaid／Medicare／會員號碼
↓→
以您名義接受的醫療服務或理賠
→ 逐一檢查福利說明書；致電1-800-MEDICARE或您的健康計畫
姓名＋地址＋醫療服務提供者與診斷
↓→
看似可信的來電與信件
→ 掛斷；致電信上或卡片上的號碼
發生了什麼事（依據DentaQuest的通知與州政府文件）
以下內容均為DentaQuest在其公開通知、寄給個人的信件，以及寄給華盛頓州總檢察長的信件中所述，或為州監管機關所列之內容。
2026年5月17日
事件開始，依該公司所述。5月19日
根據華盛頓州的文件，未經授權方的所有活動已結束。（公開通知表示事件於「5月20日前」結束。）5月20日
DentaQuest發現有一名自稱掌握其資料的未經授權第三方，並採取了控制措施。該公司透過外部律師聘請了一家外部鑑識公司。5月21日
該公司通報了FBI。5月26日
DentaQuest首次在其網站上發布資料外洩通知。5月29日
該公司得知資料已被張貼於暗網。7月16日至17日
向州總檢察長提交的文件中列出超過1,500萬人；該公司表示也已通知HHS民權辦公室（HHS Office for Civil Rights）。信件自7月17日起寄出。8月3日
向華盛頓州總檢察長提交的更新文件：全美超過2,740萬人；審查仍在進行中。
- 對象
- DentaQuest LLC，與健康計畫合作提供牙科與視力福利。受影響者包括會員、醫療服務提供者，以及與DentaQuest有關聯的其他人士，還有其計畫曾與該公司合作的人
- 涉及的資料
- 姓名、地址、出生日期、社會安全號碼、會員識別號碼、健康計畫號碼、Medicaid與Medicare號碼，以及牙科或視力健康資訊（醫療服務提供者名稱、診斷、治療、帳單）。因人而異
- 存取方式（華盛頓州文件）
- 一起社交工程攻擊騙取一名員工提供帳號憑證與多因素驗證碼。資料是從網路檔案共享區取走
- 調查未發現的事項
- 根據文件，未發現其他帳戶遭入侵、惡意軟體或勒索軟體、權限提升或持續性存在的證據；作業系統未受影響
- 已張貼於網路
- 信件表示，該個人的資訊「已被存取並張貼於網際網路上」
- 公司採取的措施
- 加強安全與監控控制、額外的員工訓練、聘請外部網路安全專家
- 聯絡方式
- (844) 959-7163，週一至週五 上午8:00至下午5:30（美國中部時間）
如何解讀這些數字
隨著審查持續進行，受影響人數不斷增加：7月16日的文件為1,500萬以上，8月3日的更新為2,740萬以上，該公司表示審查仍在進行中。網路上流傳的其他數字來自外部分析，或來自取得資料的一方；本文僅採用該公司自己的文件。若您是會員但未收到信件，這本身並不能證明您不在受影響名單內。
為什麼一組驗證碼不足以防止，以及什麼能阻止這類事件
文件並未說明DentaQuest使用的是哪一種MFA，本文也不加以推測。文件確實說明了一件事，足以提出一般性的教訓：第二因素是一個人可以交出去的東西。
人可以交出去的因素
- 密碼（可輸入，也可被口述）
- 簡訊或應用程式的一次性驗證碼（六位數，可被口述或輸入到錯誤的頁面）
- 推播核准（點一下即可，可能替他人核准）
與真實網站綁定的因素
- 通行金鑰（FIDO/WebAuthn，存在手機或電腦上）
- FIDO2安全金鑰（實體金鑰）
- PKI智慧卡（以憑證為基礎）
CISA的指引將MFA由強到弱排序，並稱抗網路釣魚的MFA為「黃金標準」。該指引表示，目前廣泛可用的抗網路釣魚形式只有FIDO/WebAuthn驗證，並將一次性密碼應用程式列為容易受網路釣魚攻擊的類型。
差別在於結構：通行金鑰或安全金鑰會在回應前先檢查是哪一個網站在要求，因此沒有可供他人口述的驗證碼，攻擊者也無法擷取並在真實網站上輸入。關於這些選項如何比較，您可參考如何選擇多因素驗證與什麼是通行金鑰？。
本站觀點：服務台也是您MFA的一部分
機構常常部署了通行金鑰，卻仍留下另一條入侵途徑：重設的流程。如果有人致電服務台說「我遺失了手機」，並在回答了問題後（而這些答案可能就在外洩的檔案中，例如姓名、出生日期、員工編號）即可註冊新的因素，那麼強力的因素實際上無法阻止入侵者。請將重設流程視為一次登入來處理：
- 在通話之外進行核實：掛斷後，改撥人事名錄上的號碼回撥，或透過另一管道向該員工的主管確認。
- 絕不以「知識」作為證明：任何人事或會員檔案中的資訊都可能外洩。應採用當面核實、比對證件照的視訊核實，或使用既有的已註冊裝置。
- 放慢高風險的重設：管理員、財務或服務台帳戶的新因素，應會通知使用者的其他裝置與其主管，並在生效前設定短暫的等待期。
- 從權限最高的帳戶開始：優先為管理員、服務台人員，以及任何能存取大量資料（例如共用檔案儲存區）的人員部署抗網路釣魚的MFA；CISA敦促管理員與其他高價值目標優先採取行動。
給持有會員或病患資料之機構的建議
文件指出資料是從網路檔案共享區取走。這項細節值得在您自己的環境中檢查，因為檔案共享區往往會累積沒有人負責的匯出檔與報表。
找出共享磁碟機上的大量匯出檔
搜尋檔案共享區與共享雲端資料夾中，包含社會安全號碼、會員編號或診斷代碼的試算表與匯出檔。針對每一個檔案，請思考：誰需要這個檔案？同樣的工作能否改在主要系統內完成，該系統的存取會有紀錄且受到限制？
針對流量設定警示，而不只是登入
通過MFA的被竊登入看起來就像正常登入。真正值得注意的是一個帳戶讀取了多少資料。請在檔案伺服器或雲端儲存的稽核紀錄中設定警示：當某一帳戶讀取的檔案數量遠超過其平常的每日量時，即通知能當天暫停該帳戶的人員。
在需要之前先規劃通知作業
DentaQuest分別為成人、未成年人及已故者寄出信件，且受影響人數隨著資料審查進行而增加。請事先決定，如何從大量檔案中辨識出受影響的人，以及如何聯絡聯絡資料已過時的人。更完整的基準請參考機構的最低資安基準。
若想了解另一起入侵途徑是員工遭到欺騙的案例，請見Carnival Corporation資料外洩事件，該事件也涉及護照號碼；若想了解歐洲身分證件號碼外洩的案例，請見Odido資料外洩事件。
資料來源（公開紀錄）
本文的事實來自以下公開來源。取得資料一方所提供的數字與主張，以及外部估計，均未採用。
- DentaQuest，資料外洩通知（2026年5月26日首次發布；2026年7月16日更新）— dentaquest.com（存檔版本）
- DentaQuest寄給華盛頓州總檢察長的信件（2026年7月16日通知與2026年8月3日更新，含範例信件）— Washington AG資料外洩入口網（PDF） / atg.wa.gov
- 加州總檢察長，DentaQuest LLC資料外洩列表，含成人、未成年人及已故者的通知信— oag.ca.gov
- 奧勒岡州司法部，資料外洩報告（DentaQuest LLC，15,000,000）— justice.oregon.gov
- FTC，Credit Freezes and Fraud Alerts — consumer.ftc.gov / What To Know About Medical Identity Theft — consumer.ftc.gov / IdentityTheft.gov
- IRS，Get an identity protection PIN — irs.gov
- Medicare，Your Medicare card 與 Reporting Medicare fraud and abuse — medicare.gov / medicare.gov
- HHS監察長辦公室，Report Fraud, Waste, and Abuse — oig.hhs.gov
- CISA，Implementing Phishing-Resistant MFA（資訊說明書，2022年10月）— cisa.gov（PDF）
更新紀錄
2026-10-19：以官方通知中的日期取代期間卡片，並區分州政府文件所列的5月19日結束與通知中「5月20日前」的說法。未推論確切的經過時數。事件時間表現在區分5月26日的首次發布與7月17日起的寄信。在搜尋描述、摘要與開頭中釐清，受影響人數為整體受影響族群，而社會安全號碼與保險號碼等資料項目因人而異。
2026-09-30：首版，依據DentaQuest的通知（2026年7月16日更新）、其向華盛頓州、加州與奧勒岡州監管機關提交的文件（包括2026年8月3日超過2,740萬人的更新），以及FTC、IRS、Medicare、HHS-OIG與CISA的指引。該公司表示其資料審查仍在進行中；若受影響人數有變動，本文將予以更新。
延伸閱讀
- 今年其他健康資料案例：Aesto Health（健康資料存檔） / Medtronic（醫療器材）
- 選擇第二因素：如何選擇多因素驗證 / 什麼是通行金鑰？
- 辨識後續詐騙：什麼是網路釣魚？
- 另一起始於員工遭欺騙的2026年案例：Carnival Corporation資料外洩事件（護照號碼）
- 歐洲外洩的身分號碼：Odido資料外洩事件（荷蘭）
- 密碼：如何選擇密碼管理工具
- 其他2026年事件：資料外洩與網路攻擊列表（日本與全球）
- 給營運者：機構的最低資安基準