美國醫療資料外洩（2026）：主要案例與如何查證通知

廠商的信件通常會寫明您實際就診的提供者，或說明是代表該提供者寄出。

例如，Xsolis的範本信件一開始就說明，您的醫療提供者使用廠商Xsolis提供個案與使用管理服務。Baylor Genetics表示，它是從第三方客戶取得病患資料，例如開立檢驗的提供者。

請先找找您認得的醫院、保險公司或雇主名稱。

請自己在瀏覽器輸入ocrportal.hhs.gov（不要透過信件中的連結或QR碼），選擇「View HIPAA Breach Reports」，然後查找該公司。列表會顯示機構名稱、州別、類型（提供者或業務夥伴）、受影響人數與提交日期。

該入口網站只包括影響500人以上的外洩事件，而廠商的外洩有時會以提供者的名義通報，因此查不到並不能單獨證明信件是假的。

加州檢察長的外洩清單（oag.ca.gov/privacy/databreach/list）會公布各公司提交的範本通知信。本文六個案例中有五個列於該清單上（我們查詢時找不到NYC Health + Hospitals）。

請將您的信件與範本並排比對，檢查客服電話、信用監控登記網站的網域，以及登記截止日期。範本是留白姓名與代碼的版型，因此請確認格式與聯絡資訊是否相符。

正規的信用監控登記會要求您輸入社會安全號碼，這正是您絕不應在未核實的網站輸入它的原因。

正規信件也可能附有QR碼（Baylor Genetics與CareCloud的範本都附有登記用QR碼），因此不要以有無QR碼來判斷。應判斷目的地網域是否與向州政府申報的範本一致。不要在您未主動發起的電話或簡訊中，「確認」您的社會安全號碼、卡號或密碼（參見什麼是網路釣魚？）。

請在截止日期前完成監控登記，然後：

• 如果涉及您的社會安全號碼，請向Equifax、Experian與TransUnion辦理信用凍結
• 另外申請IRS IP PIN（可防止他人以您的名義申報稅務的號碼）
• 檢查您的醫療給付說明（EOB），看看是否有您未接受的服務

包括兒童在內的完整美國檢查清單，請見本站的DentaQuest文章，全部集中在一頁。如果涉及線上帳戶憑證（如NYC Health + Hospitals所列），也請更改這些密碼。

電子病歷、帳務與診所管理、使用管理、福利管理、實驗室作業、病歷封存。列出所有持有病患或會員資料的公司，不論是哪個部門簽訂的合約，並註明您交付的欄位（包括社會安全號碼、證件掃描或生物特徵）、筆數與保存年數。

這些通知大多是從廠商傳到提供者，再傳到病患。若沒有這張表，廠商來電時您就無法快速說明有多少病患受影響，以及涉及哪些欄位。做法與資安盤點相同。

聯邦法規要求業務夥伴合約規定，業務夥伴將會：

• (1) 向受涵蓋實體通報合約未規定的任何使用或揭露，包括外洩事件（45 CFR 164.504(e)(2)(ii)(C)）；
• (2) 確保其分包商同意相同的限制（(D)項）；以及
• (3) 在終止時，如可行，歸還或銷毀所有受保護的健康資訊，且不保留副本；如不可行，則延長合約保護，並將進一步的使用與揭露限制在使歸還或銷毀不可行的目的之內（(J)項）。

第(3)項需要一個用以確認歸還或銷毀已完成的步驟，或在不可行時確認持續保護與目的限制。請利用「已終止合約」欄位，確認仍保有哪些病患資料，以及保護與限制其使用的條件。

Xsolis表示，其事件源自針對性的釣魚攻擊。美國網路安全與基礎設施安全局（CISA）指出，FIDO/WebAuthn（通行金鑰與FIDO2安全金鑰）是普遍可用、可抵抗釣魚的選項。

請從接觸病患資料的管理員帳戶與遠端存取開始。在選擇與續約廠商時，於廠商問卷中加入一行：「您是否對管理員帳戶與遠端存取採用可抵抗釣魚的MFA？」以驗證碼為基礎的MFA如何被交出，請參見DentaQuest文章。

Unlimited Technology Systems的通知表示，依個人情況而定，政府身分證與保險卡的掃描檔可能涉及其中。NYC Health + Hospitals也列出，部分人的指紋與掌紋可能涉及。

社會安全號碼與生物特徵無法更改。逐一檢視您交給每家廠商的欄位，並詢問該項工作是否真的需要它，是在外洩發生時縮小損害最可靠的方法。

正如各信件所示，每起事件之後都會進行審查，確認哪些人的紀錄與哪些欄位受到影響。一般而言，如果您平時就知道哪些檔案包含誰的紀錄與哪些欄位，事件後找出受影響的人就會更快。

整體基準請參見機構的最低資安基準。