170 тысяч пациентов, год молчания и никакой помощи. Как медицинская компания скрывала масштабную утечку данных

Почти через год после инцидента медицинская компания из Флориды раскрыла масштаб кражи персональных данных, произошедшей в ноябре 2024 года. Организация, специализирующаяся на диагностической визуализации, признала утечку конфиденциальной информации более 170 тысяч пациентов. Сведения включали как персональные данные, так и финансовые и медицинские детали.

В письмах, разосланных пострадавшим, компания Doctors Imaging Group сообщила, что злоумышленники получили доступ к медицинским картам, страховым полисам, информации о диагнозах, кодах процедур и заявках на возмещение. Также стали известны номера финансовых счетов, даты посещения учреждений и номера пациентов. Наряду с этим утекли имена, адреса, даты рождения и номера социального страхования. Таким образом, в распоряжении атакующих оказались как чувствительные медицинские сведения, так и ключевые идентификаторы личности.

Несмотря на то, что сам инцидент произошёл в конце прошлого года, организация уведомила Министерство здравоохранения США о результатах внутреннего расследования только 29 августа 2025 года. Причины настолько значительной задержки не уточняются. Представители медучреждения не стали раскрывать тип атаки и не указали, была ли зафиксирована активность вымогателей. За прошедшее время на специализированных ресурсах также не появилось признаков того, что атака была связана с известными группировками.

В самой компании утверждают, что относятся к защите данных с должным вниманием и пересматривают существующие процедуры. Уточняется, что сразу после обнаружения подозрительной активности были привлечены правоохранительные органы и регуляторы, а также начата проверка уязвимостей в сетевой инфраструктуре. В качестве дальнейших шагов компания заявила о намерении внедрить новые инструменты защиты и обновить внутренние политики в области информационной безопасности.

Задержка почти на год с уведомлением пострадавших вызвала особенно жёсткую критику, поскольку в этот период злоумышленники могли беспрепятственно использовать украденные сведения для мошенничества и подделки личностей. Подобная медлительность фактически лишает жертв возможности своевременно заблокировать счета, сменить пароли или предупредить страховые компании.

За это время персональные данные могли оказаться в даркнете, попасть в базы продавцов личностей и использоваться для открытия кредитных линий, медицинских заявок или иных операций от имени реальных людей. Практика столь позднего уведомления не только подрывает доверие к медицинским организациям, но и усугубляет последствия утечки, превращая единичный инцидент в долговременную угрозу для тысяч пациентов.

Более того, пострадавшим пациентам даже не были предложены стандартные для подобных ситуаций услуги по мониторингу кредитной истории или защите от кражи личности. Вместо этого компания лишь напомнила о возможности получить один бесплатный кредитный отчёт в год и порекомендовала самостоятельно контролировать свои финансовые операции.

Это решение стало редким исключением для инцидентов подобного масштаба на территории США, где зачастую пострадавшим предоставляют расширенные меры поддержки через сторонние агентства.