Organizacja NYC Health + Hospitals (NYC H+H) opublikowała komunikat dotyczący naruszenia bezpieczeństwa danych, które miało miejsce przez okres kilku miesięcy za pośrednictwem zewnętrznego dostawcy i w wyniku którego ujawniono wysoce wrażliwe dane co najmniej 1,8 miliona pacjentów i pracowników, w tym dokumentację medyczną, numery dokumentów tożsamości, dane geolokalizacyjne, a nawet dane biometryczne, takie jak odciski palców i dłoni.
2 lutego 2026 r. firma NYC H+H wykryła podejrzaną aktywność, a następnie potwierdziła, że nieuprawniony podmiot miał dostęp do części jej sieci od około końca listopada 2025 r. do lutego 2026 r.
W tym okresie cyberprzestępcy skopiowali pliki zawierające dane osobowe, medyczne, finansowe oraz biometryczne. Incydent zgłoszono do Departamentu Zdrowia i Opieki Społecznej Stanów Zjednoczonych (HHS) 24 marca 2026 r. i obecnie dotyczy on co najmniej 1,8 mln osób, co czyni go jednym z największych naruszeń bezpieczeństwa w sektorze opieki zdrowotnej w 2026 r.
Firma NYC H+H przypisuje to włamanie naruszeniu bezpieczeństwa u nieznanego dostawcy zewnętrznego, który miał dostęp do jej systemów. Odpowiada to obecnej tendencji w zakresie ataków na łańcuch dostaw, w ramach której dostawca staje się punktem wejścia dla atakujących, umożliwiającym im uzyskanie dostępu do systemów lub danych swoich klientów.
Takie przypadki stanowią klasyczny przykład tego, jak dane dotyczące zdrowia osobistego mogą sprzyjać długotrwałym oszustwom, nadużyciom przypominającym działania oprogramowania typu stalkerwareoraz trwałej utracie prywatności.
Sprawdź, czy Twoje dane osobowe zostały ujawnione.
Rodzaje danych
Zgodnie z komunikatem NYC H+H oraz powiązanymi artykułami, ujawniony zbiór danych jest niezwykle obszerny i szczegółowy.
Możemy podzielić dane na trzy odrębne warstwy:
- Klasyczne dane osobowe (PII), które można połączyć z innymi ujawnionymi zbiorami danych: imiona i nazwiska oraz dane kontaktowe. Identyfikatory wydane przez organy państwowe, w tym numery ubezpieczenia społecznego, numery praw jazdy i paszportów, inne numery identyfikacyjne wydane przez organy państwowe, numery identyfikacyjne podatników oraz kody PIN służące do ochrony tożsamości przypisane przez IRS. W wyniku naruszenia ujawniono również dane rozliczeniowe i płatnicze, a także dane bankowe i kart płatniczych, które mogą zostać wykorzystane do bezpośredniej kradzieży środków finansowych oraz do przeprowadzenia wysoce przekonujących ataków socjotechnicznych.
- Dane medyczne i ubezpieczeniowe: Szczegółowe diagnozy, wykazy leków i wyniki badań ujawniają schorzenia, które ludzie mogli ukrywać przed pracodawcami, rodziną lub ubezpieczycielami, co stwarza okazję do szantażu, ukierunkowanych oszustw i dyskryminacji. Dane ubezpieczeniowe i dotyczące roszczeń mogą być wykorzystywane do składania fałszywych wniosków, przekierowywania zwrotów kosztów lub podszywania się pod istniejące tożsamości w systemach opieki zdrowotnej.
- Dane biometryczne: Są one co najmniej tak samo wrażliwe jak historia chorób, ponieważ zazwyczaj pozostają z nami przez całe życie. Nie da się ich łatwo usunąć ani zastąpić. W przypadku naruszenia bezpieczeństwa duże bazy danych biometrycznych stają się długoterminowym zagrożeniem dla wszystkich, którzy traktują je jako wiarygodne środki identyfikacji.
Niestety, jest to część szerszego trendu. Centrum Skarg Dotyczących Przestępstw Internetowych (IC3) przy FBI podaje, że w 2025 r. sektor opieki zdrowotnej był najczęściej atakowanym sektorem infrastruktury krytycznej przez oprogramowanie ransomware – odnotowano 460 incydentów związanych z oprogramowaniem ransomware oraz 182 zgłoszone przypadki naruszenia bezpieczeństwa danych dotyczących opieki zdrowotnej.
Już sam atak ransomware na Change Healthcare spowodował ujawnienie danych medycznych i rozliczeniowych ponad 190 milionów Amerykanów, co pokazuje, jak jeden pośrednik w sektorze opieki zdrowotnej może zakłócić funkcjonowanie całego systemu.
Co zrobić, jeśli jesteś w to zamieszany
Jeśli mieli Państwo kontakt z NYC Health + Hospitals, istnieje możliwość, że dotyczy to Państwa danych osobowych.
NYC Health + Hospitals udostępnia usługi w zakresie zapobiegania kradzieży tożsamości i ograniczania jej skutków, w tym monitorowanie historii kredytowej, za pośrednictwem firmy Kroll Information Assurance, LLC. Usługi te będą dostępne bezpłatnie przez okres 24 miesięcy dla wszystkich osób, które pracowały w NYC Health + Hospitals lub były pacjentami tej placówki. Więcej szczegółów można znaleźć w komunikacie dotyczącym naruszenia bezpieczeństwa danych.
Jeśli uważasz, że padłeśofiarą naruszenia bezpieczeństwa danych, oto kroki, które możesz podjąć, aby się zabezpieczyć:
- Sprawdź zalecenia firmy.Każde naruszenie jest inne, więc skontaktuj się z firmą, aby dowiedzieć się, co się stało, i postępuj zgodnie z jej zaleceniami.
- Zmiana hasła. Możesz sprawić, że skradzione hasło będzie bezużyteczne dla złodziei, zmieniając je. Wybierz silne hasło, którego nie używasz do niczego innego. Jeszcze lepiej, pozwól menedżerowi haseł wybrać je za Ciebie.
- Włączuwierzytelnianie dwuskładnikowe (2FA).Jeśli to możliwe, jako drugi składnik uwierzytelniania użyj klucza sprzętowego zgodnego ze standardem FIDO2, laptopa lub telefonu. Niektóre formy uwierzytelniania 2FA mogą być równie łatwo podszyte jak hasło, ale uwierzytelnianie 2FA oparte na urządzeniu FIDO2 nie może zostać podszyte.
- Uważaj na oszustów podszywających się pod inne podmioty.Przestępcy mogą skontaktować się z Tobą, podając się za platformę, która padła ofiarą ataku. Sprawdź na oficjalnej stronie internetowej, czy platforma ta kontaktuje się z ofiarami, i zweryfikuj tożsamość każdej osoby, która skontaktuje się z Tobą za pośrednictwem innego kanału komunikacji.
- Nie spiesz się. Ataki phishingowe często podszywają się pod znane osoby lub marki i wykorzystują tematy, które wymagają pilnej uwagi, takie jak nieodebrane dostawy, zawieszenie konta i alerty bezpieczeństwa.
- Rozważ nieprzechowywanie danych swojej karty. Zdecydowanie wygodniej jest pozwolić witrynom zapamiętać dane karty, ale zwiększa to ryzyko w przypadku naruszenia bezpieczeństwa przez sprzedawcę.
- Skonfigurujmonitorowanie tożsamości, które powiadomi Cię, jeśli Twojedane osobowezostaną wykryte jako przedmiot nielegalnego handlu w Internecie, i pomoże Ci w podjęciu odpowiednich działań.
Spójrzmy prawdzie w oczy – okno incognito ma swoje ograniczenia.
Naruszenia bezpieczeństwa, handel na dark webie, oszustwa kredytowe. Theft Malwarebytes Identity Theft monitoruje wszystkie te zagrożenia, szybko Cię o nich powiadamia i obejmuje ubezpieczenie od kradzieży tożsamości.
