適用對象：收到 Photon Health 或 Blueberry Pediatrics 通知信的人，以及任何執行自行託管分析工具的人。本文基於 Photon Health 的通知、俄勒岡州總檢察長的資料外洩名單以及 Blueberry Pediatrics 的消費者信件樣本，不涉及攻擊手法。
事態發展中：本文將隨機構發布更多資訊而更新
截至2026年10月31日尚不清楚
- Photon Health 受影響的總人數
- 本次事件與其他機構通知之間的關係
- 公司是否會公布更多調查詳情
Photon Health 於2026年10月8日發布了通知，尚未說明受影響的人數。Blueberry Pediatrics 的數字（340,915）來自其向俄勒岡州總檢察長提交的報告，是另一家公司的數字。
受影響者今天應該做什麼
不要照做關於處方、退款或保險理賠的電話、簡訊或電子郵件
這些項目把您的姓名、地址、電話號碼和出生日期與藥物資訊結合在一起。這足以讓來電者聽起來可信。
如果有人就「處方問題」「退款」「藥房帳戶」或保險理賠聯絡您，請掛斷並回電，使用您自己查到的號碼，例如保險卡上的號碼或藥房網站上的號碼。該模式參見什麼是網路釣魚？。
絕不要向主動聯絡您的人提供社會安全號碼、卡號或一次性驗證碼
Photon 稱，社會安全號碼和財務資訊未受影響。如果來電者仍然索要這些資訊，那就不是 Photon 描述過的任何步驟。
只透過您的信件使用信用監控服務
Photon 稱，提供為期12至24個月的免費信用監控和身分盜用保護。註冊步驟在通知信中；網頁通知中沒有重複。不要透過意外電子郵件或簡訊中的連結註冊。
檢視保險公司的對帳單，留意您沒有接受過的服務
如果您的健康計劃詳情在涉及的項目中（它們列在 Blueberry Pediatrics 的信件中，而不在 Photon 的通知中），請檢視福利說明對帳單中您不認識的費用，並告知您的保險公司。
只透過通知中的號碼向公司諮詢
Photon 的通知提供了一條電話熱線：1-844-772-5746，美國東部時間週一至週五8:00至20:00，節假日除外。請使用通知或信件中的聯絡方式，而不要使用您收到的訊息中給出的聯絡方式。
發生了什麼（依據通知）
除另有說明的來源外，以下內容均如 Photon Health 2026年10月8日的通知所述。
2026年8月21日
Photon Health 稱其得知了此事件。9月4日
Photon 稱其對受影響資料的審查已完成。10月8日
Photon 發布了通知，並正在通知其資訊可能受到涉及的人。
- 涉及對象
- 其資訊可能被涉及的人；數量未說明
- 項目
- 姓名、地址、電話號碼、出生日期、處方藥物資訊；因人而異
- 未受影響
- 社會安全號碼和財務資訊，公司稱其不收集也不儲存
- 原因（公司的說法）
- 未經授權的第三方利用了分析工具（Metabase）中一個此前未知的漏洞；Photon 在自己的基礎設施上執行該工具，用於商業智慧、產品指標和客戶儀表板
- 濫用
- 沒有發現受影響資訊被濫用或企圖濫用的證據
- 公司應對
- 聘請網路安全專家進行調查、遏制和修復；公司稱其分析工具環境是安全的，並正在審查其技術保障措施
- 支援
- 12至24個月的免費信用監控和身分盜用保護；電話熱線1-844-772-5746
一項相關的披露：Blueberry Pediatrics（列出340,915人）
俄勒岡州總檢察長的資料外洩名單中，有一條 Blueberry Pediatrics 於2026年10月10日提交的報告，「Number Affected」（受影響人數）一欄為 340,915（該頁面稱這是初次提交時的數字），外洩期間為2026年8月10日至8月22日，發現日期為8月26日，通知於10月9日發出。該名單沒有單獨列出俄勒岡州的數量。模板通知給出的發現日期是8月22日，所以兩個來源並不一致。由於患者是兒童，Blueberry 的通知發給家長和監護人。
Blueberry 的消費者信件樣本（提交給加利福尼亞州總檢察長；模板使用的名稱是 Blueberry Medical）稱，一名犯罪者利用其技術提供商之一 Metabase 的漏洞，竊取了部分患者資料的副本。它列出了姓名、健康計劃名稱和保單號碼、出生日期，以及醫療紀錄、服務日期、醫療程式碼和服務費用等醫療保健資訊。它稱社會安全號碼和支付資訊不在其中，而為診斷髮送的照片和影片單獨存放，未受到損害。
這是另一家公司的數字。請不要把它加到 Photon 的數字上，Photon 的數字尚未公布。
加利福尼亞州總檢察長的資料外洩名單中也有一條 Photon Health 的紀錄，給出的外洩日期為2026年8月10日。該日期與 Photon 通知中的8月21日不同，後者是公司稱其得知此事的日期。本文按各來源所述使用日期。
我們知道什麼、不知道什麼
截至2026年10月31日。有更多資訊發布時，本表將被改寫。
| 項目 | 公布的內容 | 狀態 |
|---|---|---|
| 對 Photon 某分析工具的未經授權存取 | 利用了分析工具中一個此前未知的漏洞 | 已確認（公司） |
| 涉及的項目 | 姓名、地址、電話號碼、出生日期、處方藥物資訊 | 已確認（公司） |
| 社會安全號碼、財務資訊 | 公司不收集也不儲存 | 已排除（公司） |
| 資料的濫用 | 沒有濫用或企圖濫用的證據 | 無證據（公司） |
| Photon 受影響的人數 | 通知未說明 | 未公布 |
| 公司得知的日期 | 2026年8月21日（加利福尼亞州名單顯示外洩日期為8月10日） | 已確認（公司）；各來源日期不同 |
| Blueberry Pediatrics 受影響的人數 | 340,915（俄勒岡州總檢察長名單） | 已確認（另一家公司） |
| Photon 的密碼、健康計劃詳情 | Photon 的通知中未列出 | 未說明 |
| Photon 與 Blueberry 通知之間的聯絡 | 在所檢視的兩份檔案中均未提及 | 未說明 |
這些項目的組合可能被用來做什麼
姓名、地址、電話號碼和出生日期，在過去的許多資料外洩中都能找到。這裡不同尋常的是，它們旁邊還有處方藥物資訊，這會讓關於某種藥物、續方或保險理賠的詐騙電話聽起來很真實。這是這類資料一般會發生的情況；並不表示本案中已經發生。
姓名 + 電話號碼 + 藥物
↓→
關於續方或保險理賠、令人信服的電話
→ 掛斷；撥打您自己查到的號碼
姓名 + 地址 + 出生日期
↓→
利用您資訊的假冒信件、簡訊或電子郵件
→ 不要點擊連結；在官方網站上確認
未受影響（Photon 稱）
- 社會安全號碼
- 財務資訊
可能已被涉及（因人而異）
- 姓名和地址
- 電話號碼
- 出生日期
- 處方藥物資訊
如何理解：「沒有濫用的證據」並不等於「從此安全」
Photon 稱沒有發現濫用或企圖濫用的證據。出生日期不會改變，因此這些資料可能在數月甚至數年之後被用於訊息之中。對於藉此事件聯絡您的人，請謹慎對待。
面向營運分析工具的人
Photon 稱，該工具是它自己執行的，用於報告和客戶儀表板，並且一個此前未知的漏洞被利用。本節只涉及已公布的事實所能支援的內容。該漏洞的詳情見本站關於 CVE-2026-72898的警報，受同一產品影響的其他機構見關於 Metabase 漏洞資料外洩的文章。
列出您的分析工具可以讀取的資料
這類工具通常連線到生產資料庫。它能讀取什麼，一旦被入侵，就可能外洩什麼。就 Photon 而言，藥物資訊之類的項目是可以透過報表工具存取到的。請檢查該工具做分析究竟需要哪些表和列，並去掉其餘的。
弄清楚哪些工具由您自己執行、哪些由供應商執行
Photon 稱該工具是自行託管的，這意味著更新和暴露面是營運者的責任。請保留一份您所執行的自行託管工具的清單，以及獲知其安全修復的渠道（背景知識：osv-scanner）。
為事件發生到發出通知之間的時間做好計劃
按公司的說法，從得知此事（8月21日）到發出通知（10月8日），過去了大約七週。請預先確定由誰審查受影響的資料、由誰批准通知，這樣審查就不會成為瓶頸。
參考來源（公開紀錄）
本文的事實來自以下公開來源。對尚未公布的原因和數量不做推測。
- Photon Health，《資料安全事件通知》（2026年10月8日；標題為英文原文的譯文）— PR Newswire
- 加利福尼亞州總檢察長，關於 Photon Health 的資料外洩報告 — oag.ca.gov
- 俄勒岡州司法部，資料外洩通知名單（Blueberry Pediatrics，2026年10月10日報告）— justice.oregon.gov
- Blueberry Pediatrics（Blueberry Medical），提交給加利福尼亞州總檢察長的消費者通知模板 — oag.ca.gov（PDF）
更新紀錄
2026-10-31：首次發布，依據 Photon Health 10月8日的通知以及上述監管機構的名單。Photon 尚未公布數量；如果公布，本文將隨之更新。
延伸閱讀
- 同一漏洞，其他機構：Metabase 漏洞資料外洩（Trezor、Framework、n8n 等）
- 詐騙電話和訊息：什麼是網路釣魚？ / 智慧型手機資安基本觀念
- 另一起美國醫療保健案例：AdaptHealth 資料外洩事件 / 2026年美國醫療保健資料外洩
- 2026年其他事件：資料外洩與網路攻擊一覽（日本與全球）