適用物件：收到過 2023 年 Perry Johnson & Associates（PJ&A）資料外洩通知的人，以及外包轉錄、編碼或計費業務的醫療機構。本文基於紐約州、康涅狄格州和新澤西州總檢察長的新聞稿，不涉及攻擊手法。
事態發展中：本文將隨機構發布更多資訊而更新
- 適用對象
收到過 2023 年 Perry Johnson & Associates（PJ&A）資料外洩通知的人，以及外包轉錄、編碼或計費業務的醫療機構。
- 已確認的影響範圍查看表格 ↓
- 涉及人數
- 外洩的項目
- 尚未確認的事項
- 密歇根州的新聞稿及其數字
- 和解檔案如何處理各公司的責任
- 按委託方醫療機構劃分的受影響人數
另外1項
- 和解之後是否還有進一步的通知或支援
- 現在要做的事查看步驟 ↓
- 確認信用凍結仍然有效
- 在福利說明中檢視有沒有您沒有接受過的醫療服務
- 假定診斷和檢查結果已經外洩，並做好應對威脅的準備
另外2項
- 警惕以和解為藉口的訊息
- 問問通知您的醫療機構，為什麼這家公司持有您的資料
- 查證來源（出處）全部來源 ↓
- 紐約州總檢察長，《Attorney General James Secures Up to $10 Million and Critical Reforms From Companies That Failed to Protect Private Medical Data》（2026 年 11 月 6 日）— ag.ny.gov
- 最後查證
- 截至 2026 年 11 月 8 日
續報計畫與查證紀錄
新聞稿沒有提到後續資訊。截至 2026 年 11 月 8 日，本站已確認紐約州、康涅狄格州和新澤西州的新聞稿，無法確認密歇根州的新聞稿。
如果您收到過通知，今天該做什麼
確認信用凍結仍然有效
外洩的項目中包括社會安全號碼，因此這是最有效的一步。您可以向 Equifax、Experian 和 TransUnion 申請免費的安全凍結。如果您在收到 2023 年的通知後設定過凍結，請確認它沒有被解除。參考來源中的美國聯邦貿易委員會（FTC）頁面介紹了方法。
在福利說明中檢視有沒有您沒有接受過的醫療服務
姓名、出生日期、保險資訊和醫院帳號放在一起，可能被用來以他人的名義就醫或開具帳單。請檢視保險公司的福利說明，看有沒有您不認識的就診、處方或裝置。如果發現，請聯絡保險公司和所列的醫療機構。
假定診斷和檢查結果已經外洩，並做好應對威脅的準備
轉錄檔案中包含檢查結果和藥物名稱。如果有人聲稱知道您的診斷並索要錢款，不要支付；請聯絡 FTC 或警方。新聞稿沒有說發生過這類聯絡。這是一般情況下可能發生的事，所以請做好準備。
警惕以和解為藉口的訊息
新聞稿沒有說受害者會獲得賠付。凡是關於“和解賠付”“帳戶核對”或“手續費”的電話或訊息，只要是主動找上門的，就應視為可疑。請自己開啟所在州總檢察長的官方網站確認（識別方法：什麼是網路釣魚？）。
問問通知您的醫療機構，為什麼這家公司持有您的資料
據紐約州的新聞稿，PJ&A 為全美的醫療機構提供編碼、計費和錄音等服務。對患者而言，這是一家您從未與之簽約的公司。您可以詢問為您診療或向您發出通知的醫療機構，您的資料在多大範圍內與其承包商共享。
發生了什麼（依據總檢察長的新聞稿）
本節基於紐約州、康涅狄格州和新澤西州總檢察長 2026 年 11 月 6 日的新聞稿。這是各州的說法，並非各公司的說法。涉及的公司為 Perry Johnson & Associates, Inc.（PJ&A）、Perry Johnson, Inc.（PJI）、Perry Johnson & Associates Coding, Inc.、Perry Johnson & Associates Radiology, Inc. 和 Medical Transcription and Coding, Inc.，新聞稿稱之為“Perry Johnson 各公司”。
員工憑據
遠端存取沒有多重要素驗證
↓→
數月的存取
活動被紀錄，但沒有發出警報
↓→
被發現
大約兩個月後，駭客主動聯絡
這是各州的說法，並非各公司的說法。
2023 年 3 月
據各州稱，駭客使用了 PJ&A Coding 一名員工的憑據存取 PJ&A 的系統。隨後的幾個月
駭客收集了密碼並存取了未加密的檔案（各州的說法）。大約兩個月後
PJ&A 直到駭客聯絡它時才得知發生了外洩（各州的說法）。2026 年 11 月 6 日
四個州的總檢察長宣佈達成和解。
- 公司
- Perry Johnson & Associates, Inc.（PJ&A）及四家關聯公司
- 資料外洩
- 2023 年 3 月；全美約 1330 萬人
- 各州人數
- 紐約州居民約 420 萬人；新澤西州約 539,669 人；康涅狄格州約 107,960 人。密歇根州未能確認
- 外洩的項目
- 姓名、出生日期、家庭住址、社會安全號碼；醫院帳號、診斷、保險資訊；轉錄檔案中的臨床資訊（實驗室和診斷檢查結果、藥物名稱）
- 和解金額
- 最高 1000 萬美元。至少 30 萬美元的罰款支付給各州；如果各公司未能履行協議條款，另有 9,700,000 美元須支付給各州
- 各州金額
- 紐約州：至少 10 萬美元的罰款和費用。康涅狄格州：66,666 美元。新澤西州：其新聞稿未說明
- 檔案型別
- 新澤西州的新聞稿連結了一份自願遵守保證書（Assurance of Voluntary Compliance）。其他新聞稿的正文沒有指明檔名稱
各州所稱的原因
新聞稿描述了以下情況。這是各州的說法，並非各公司的宣告。
| 項目 | 各州的說法 | 狀態 |
|---|---|---|
| 涉及人數 | 全美約1330萬人 | 已確認（各州） |
| 外洩的項目 | 姓名、出生日期、地址、社會安全號碼、醫院帳戶號碼、診斷、保險資訊和臨床資訊 | 已確認（各州） |
| 進入方式 | 使用了 PJ&A Coding 一名員工的憑據 | 各州的說法 |
| 遠端存取 | 不要求多重要素驗證 | 各州的說法 |
| 檔案 | 存取了未加密的檔案；收集了密碼 | 各州的說法 |
| 日誌監控 | PJI 的軟體紀錄了這些活動，但沒有配置為向安全人員發出警報 | 各州的說法 |
| 發現 | 大約兩個月後，在駭客聯絡公司時 | 各州的說法 |
| 憑據是如何獲得的 | 新聞稿中沒有 | 未說明 |
| 資料儲存期限是否為原因 | 沒有被列為原因；儲存期限只出現在要求的改進措施中 | 未說明 |
| 各公司是否承認違規 | 紐約州和康涅狄格州的新聞稿中沒有 | 未說明 |
如何理解：和解不等於法院裁定違法
紐約州新聞稿的標題稱各公司“Failed to Protect”（未能保護）私人醫療資料，但沒有任何一份新聞稿說各公司違反了法律，或承認了責任。除新聞稿所述之外，本站不斷言各公司違法。
各公司必須做什麼
各份新聞稿共同提到的改進措施有：
- 維持全面的資訊保安計劃和事件回應流程
- 落實多重要素驗證、密碼管理、加密和資產管理方面的保護措施和政策
- 每年進行符合 HIPAA 的風險評估
- 維持規範個人健康資訊的收集、使用、儲存和處置的政策與程式
新澤西州的新聞稿沒有描述獨立監督員或報告時間表。
這樣一組資料可能導致什麼
一般而言，下面這樣的組合可能被濫用。這並不表示本案中已發生。
- 姓名 + 出生日期 + 社會安全號碼 + 地址：試圖開立帳戶或申請信貸，或騙領退稅
- 姓名 + 保險資訊 + 醫院帳號：以他人名義就醫或開具帳單
- 診斷和藥物名稱：利用對其健康狀況的瞭解，進行令人信服的聯絡或威脅
醫療機構和委託方可以借鑑什麼
各州的說法中有一些要點，委託方可以用來檢查自己對承包商的監督。本節只依據已公布的內容，並把它轉化為可以在自己的合約和系統中核實的事項。
- 遠端存取的多重要素驗證。 各州指出其缺失。請透過檢視設定或審計報告，而不是合約條文，確認承包商在進入其系統的每條途徑（VPN、遠端桌面、雲管理控制檯）上都有此要求。指南：多重要素驗證入門。
- 測試日誌警報發往哪裡，而不只是確認有日誌。 各州稱活動被紀錄了，但沒有警報送達安全人員。第一步是做一次測試，例如從異常地點登入並讀取大量檔案，確認有人收到通知。
- 在合約中約定儲存和處置。 儲存期限沒有被列為原因，但出現在要求的改進措施中。請寫明承包商將轉錄的錄音和檔案儲存多久、何時刪除，並要求提供刪除證明。持有得越少，可能損失的就越少。
- 查詢未加密的檔案儲存。 各州稱未加密的檔案被存取。請詢問承包商，存放臨床資訊的位置是否已加密。
- 瞭解承包商的承包商。 患者可能與某家公司沒有任何合約，資料卻流向了它。請事先約定承包商把業務轉包給誰，以及誰負責通知。
參考來源（公開紀錄）
本文的事實依據以下公開宣告。
- 紐約州總檢察長，《Attorney General James Secures Up to $10 Million and Critical Reforms From Companies That Failed to Protect Private Medical Data》（2026 年 11 月 6 日）— ag.ny.gov
- 康涅狄格州總檢察長，新聞稿（2026 年 11 月 6 日）— portal.ct.gov
- 新澤西州總檢察長，新聞稿（2026 年 11 月 6 日）— njoag.gov
- The Record，《Medical services company settles with 4 state AGs》（媒體報道，作為佐證）— therecord.media
- 美國聯邦貿易委員會（FTC），《Credit Freezes and Fraud Alerts》— consumer.ftc.gov
更新紀錄
2026-11-08：首次發布，依據紐約州、康涅狄格州和新澤西州總檢察長 2026 年 11 月 6 日的新聞稿。無法確認密歇根州的新聞稿。各州或各公司發布更多資訊後，本文將隨之更新。
延伸閱讀
- 美國醫療資料外洩的整體情況：US healthcare data breaches (2026)
- 持有舊醫療紀錄的公司：The Aesto Health breach
- 另一起大型醫療相關案例：The AdaptHealth breach
- 保護遠端存取：多重要素驗證入門
- 識別後續詐騙：什麼是網路釣魚？