美国管理医疗补助(Medicaid)和儿童健康保险计划(CHIP)牙科福利的最大机构DentaQuest遭黑客攻击,最多2340万人的个人信息遭到泄露。泄露内容包括社会安全号码、医疗补助与医疗保险(Medicare)参保编号,乃至诊断和治疗记录,受害范围十分广泛。
ShinyHunters今年5月在暗网上传窃取的数据时,声称受害者有260万人。DentaQuest自7月中旬起发出的正式通知函中则写明超过1500万人。此后,安全分析媒体Security Affairs公布的数字已超过2340万人。据医疗专业媒体HIPAA Journal报道,三个月内公布数字的主体换了三次,规模也随之不断扩大。
为期三天的非法入侵与暗网泄露
据DentaQuest介绍,外部攻击者在5月17日至20日的三天内未经授权侵入了公司电脑网络。公司表示已于20日发现入侵,随即切断网络并向执法机构报案。ShinyHunters声称窃取了234GB的数据,并要求支付赎金。谈判破裂后,该组织将窃取的数据原样上传至暗网泄露网站。
从美国最大管理商泄露的身份与诊疗信息
总部位于马萨诸塞州韦尔斯利的DentaQuest,是人寿保险公司永明金融(Sun Life)美国牙科业务的子公司。该公司也是在美国50个州管理医疗补助和儿童健康保险计划牙科福利的最大机构。此次泄露的信息包括姓名、地址、社会安全号码、医疗补助与医疗保险参保编号、诊断和治疗记录,以及理赔信息。据悉,其中还包含大量儿童参保者的信息。DentaQuest此前曾表示,公司在全美管理着3200万人的牙科福利,此次泄露的2340万人占其中相当大的比例。
受害者援助、嫌疑人被捕与韩国的安全课题
DentaQuest表示,将为受害者提供为期24个月的免费信用监测和身份盗用保护服务。ShinyHunters是今年以来持续以类似方式攻击多家企业的组织。据美联社报道,上月29日,一名据信是该组织成员的人士在荷兰被捕,并被拘留90天。
DentaQuest并未在韩国开展业务,因此韩国国内牙科患者不会因此次泄露而受到直接影响。不过,牙科领域安全防护薄弱这一事实同样适用于韩国。牙科美学修复材料企业HASS的官网也曾在2024年遭黑客攻击,导致会员姓名和联系方式泄露。正如此前介绍过的HeyDonto一样,随着将牙科记录与医疗电子病历对接的尝试不断增多,一旦某一环节被攻破,泄露信息的范围也会随之扩大,这一点是两国共同面临的课题。