HCA医疗机构数据安全事件

关键要点

• HCA Healthcare承认发生数据安全事件，泄露了至少1100万名患者的数据。
• 数据泄露是由于一个外部存储地方需要的未披露软件系统的安全漏洞造成的。
• 被盗数据包括患者的姓名、电子邮件及其他个人信息。
• 公司表示未涉及更敏感的临床或支付信息。
• 该事件未导致医疗服务中断，且已向执法机关报告。

HCAHealthcare，作为美国最大的医疗服务提供商之一，周一确认发生了一起数据安全事件，导致至少1100万名患者的资料在20个州泄露。此公司位于田纳西州，经营180家医院和2300个医疗服务站，由前参议院共和党多数领袖比尔·弗里斯特的家族创立。

该事件通过未经授权访问一个用于自动化电子邮件格式的外部存储系统发生。HCAHealthcare表示，数据泄露“最近被发现”，被盗数据包括“用于电子邮件信息的内容，例如患者预约和医疗项目及服务相关的教育提醒”。在得知事件后，公司的用户访问存储的权限立即被禁用。

目前确认泄露的数据类型包括患者姓名、城市、州、邮政编码、电子邮件、电话号码、出生日期、性别、患者服务数据、地址以及下次预约日期。

“调查仍在继续，尚无法确认受影响人数，”公告中提到。“HCA Healthcare认为，泄露的数据大约包含2700万行，可能涉及约1100万名HCA
Healthcare患者的信息。”

公司在声明中表示有信心认为更敏感的数据没有被盗，但网络安全专家常常警告称，事件发生后的立即影响并不总是清晰可见。

“我们不认为临床信息（如治疗、诊断或健康状况）、支付信息（如信用卡或账户号码）或其他敏感信息（如密码、驾驶执照号码或社会安全号码）涉及其中，”该公司在声明中写道。

根据HCA的说法，事件未对医疗服务或日常运营产生中断，公司表示不认为此事件会对业务、运营或财务结果产生影响。受影响的州包括阿拉斯加、加利福尼亚州、科罗拉多州、佛罗里达州、乔治亚州、爱达荷州、印第安纳州、堪萨斯州、肯塔基州、路易斯安那州、密苏里州、密西西比州、内华达州、新罕布什尔州、北卡罗来纳州、南卡罗来纳州、田纳西州、德克萨斯州、犹他州和弗吉尼亚州。

这一确认是在DataBreaches.net网站发布黑客在地下论坛上出售数据的消息五天后进行的，黑客给HCAHealthcare设定了7月10日的最后期限以“满足要求”。在被联系后，卖家告知该网站他们入侵了自动化格式系统，并在7月4日联系了该供应商。

黑客宣传HCA Healthcare数据的屏幕截图。（来源：DataBreaches.net）

该提供商正在向受影响的受害者提供信用监控服务，并鼓励患者如收到涉及被盗数据的虚假账单，请致电列出的号码联系他们。HCAHealthcare表示，他们已向执法机构报告此事件，并聘请了外部威胁情报提供商和法医调查员，声称目前没有证据显示其网络和系统受到恶意活动影响。

SC Media已联系HCA Healthcare的媒体联系人，并留言以寻求进一步评论。

如果确认，1100万人的数据泄露将超越，后者是发生在打印和邮寄供应商OneTouchPoint上的411万患者的勒索软件攻击事件。