Крупная утечка персональных данных у стоматологов США

Утечку персональных данных более 1,2 млн пациентов допустила сеть клиник Absolute Dental. Утечка персональных данных произошла в результате кибератаки.

Американская компания Absolute Dental, управляющая сетью из 50 стоматологических клиник в штате Невада, завершила расследование кибератаки, произошедшей в феврале. Подтверждено, что жертвами инцидента стали более 1,2 млн человек, у которых утекли персональные данные и защищаемая законом медицинская информация.

В мае 2025 г. Absolute Dental сообщила об утечке данных в Управление по гражданским правам Министерства здравоохранения и социальных служб США (HHS). В качестве предварительного количества пострадавших пациентов было указано число 501. На тот момент компании было неизвестно точное количество жертв инцидента. Хотя на портале HHS по утечкам данных обновленная информация пока не опубликована, известно, что Absolute Dental направила генеральному прокурору штата Орегон уведомление о том, что пострадали 1 223 635 человек.

В повторном уведомлении об утечке данных компания Absolute Dental пояснила, что инцидент информационной безопасности в ее системах был выявлен 26 февраля 2025 г. Были приняты необходимые меры по защите систем, а также по расследованию характера и масштабов инцидента. Для расследования инцидента были привлечены сторонние эксперты по кибербезопасности. Они подтвердили, что неизвестное лицо получало несанкционированный доступ к сети компании в период с 26 февраля по 5 марта 2025 г.

Проверка файлов, которая завершилась в конце июля, подтвердила утечку конфиденциальной информации. У всех пострадавших лиц были скомпрометированы имена, а также один или несколько следующих типов данных: контактная информация, дата рождения, номер социального страхования, данные водительских удостоверений, данные паспортов или других удостоверений личности государственного образца, а также информация о состоянии здоровья. Утекшие сведения о состоянии здоровья могли включать историю болезни, информацию о диагнозе и лечении, пояснения к льготам, а также информацию о медицинском страховании и/или номера медицинских карт или ID-номера пациентов. У небольшой группы пациентов также скомпрометированы данные их финансовых счетов и/или платежных карт.

Absolute Dental также рассказала о механизме взлома. Расследование показало, что злоумышленники получили первоначальный доступ к сети путем запуска вредоносной версии легитимного ПО через учетную запись, связанную с поставщиком управляемых сервисов. Сеть стоматологических клиник не уточнила, какой именно программный продукт был использован. Согласно описанию, киберпреступник взломал сеть поставщика управляемых сервисов, а затем обманным путем заставил сотрудника Absolute Dental запустить вредоносную версию программы, либо воспользовался привилегированным доступом поставщика и сам установил хакерский инструмент, тем самым получив доступ к информационным системам Absolute Dental.

Об утечке данных компания Absolute Dental сообщила регуляторам и правоохранительным органам. К настоящему времени в сети стоматологических клиник внедрены дополнительные меры безопасности и технические средства для предотвращения подобных инцидентов в будущем. Пострадавшие лица получают уведомления, в которых компания предлагает бесплатные услуги кредитного мониторинга сроком на два года.

Источник: HIPAA Journal