Ключевые выводы
- Хакеры получили доступ к сети NYC Health + Hospitals через стороннего поставщика и копировали данные с ноября 2025 по февраль 2026 г.;
- В утечке оказались личные данные, медицинские карты, страховые сведения и биометрические отпечатки пальцев — более 1,8 млн человек;
- Инцидент стал одним из крупнейших за 2025 год и подчеркнул необходимость усиления контроля над подрядчиками и биометрией в здравоохранении.
NYC Health + Hospitals, крупнейшая публичная система здравоохранения США, объявила о масштабной кибератаке, затронувшей почти два миллиона жителей Нью‑Йорка. Утечка раскрыла тревожный аспект: хакеры получили биометрические данные, которые нельзя «переиздать». Разбираемся, что случилось, какие сведения скомпрометированы и какие меры принимаются, чтобы подобное не повторилось.
Что произошло: хронология событий
2 февраля 2026 года система NYC Health + Hospitals (NYCHHC) обнаружила подозрительную активность в своей сети и сразу же закрыла доступ злоумышленникам. По официальному уведомлению на сайте, хакеры присутствовали в системе с ноября 2025 по февраль 2026 год, успев скопировать тысячи файлов.
Причиной первоначального проникновения стал «пробой» у одного из сторонних поставщиков. Точная компания не названа, но известно, что она имела доступ к некоторым сервисам NYCHHC, через которые и прошёл вредоносный код.
После обнаружения атаки команда IT‑службы начала экстренный аудит, зафиксировав более 1,8 млн записей, которые могут быть украдены. В этот же день веб‑сайт NYCHHC временно перестал работать, что добавило неопределённости.
В течение недели система передала детали инцидента в Министерство здравоохранения и социальных служб США (HHS) в рамках правила HIPAA о раскрытии утечек.
Какие данные оказались в руках киберпреступников
Список украденных сведений варьируется от пациента к пациенту, но в общем включает:
- имя, дата рождения, адрес, номера телефонов;
- информацию о страховке: план, полис, номер участника;
- медицинские записи: диагнозы, назначения, результаты анализов, рентгеновские снимки;
- финансовые данные: счета, платежи, страховые претензии;
- гос. документы: номера соц.страхования, паспорта, водительские удостоверения;
- «прецизионные геоданные» – координаты места, где были сняты фотографии документов;
- биометрические отпечатки пальцев и/или ладоней.
Последний пункт особенно страшен: биометрические данные нельзя заменить, и их компрометация может стать площадкой для будущих атак, в том числе подделки идентификации.
Почему биометрия в медицине – двойной нож
В NYCHHC биометрические данные используют в основном для проверки сотрудников при приёме на работу (отпечатки пальцев для проверки судимостей). Не ясно, включала ли система такие же данные у пациентов, но факт их утечки уже заставил многих задаться вопросом о целесообразности их хранения.
Эксперты отмечают, что биометрия упрощает процесс входа в электронные медицинские карты, но при этом создает «публичный ключ», который при утечке почти невозможно «отозвать». Поэтому в отрасли растёт требование к шифрованию отпечатков и ограничению их доступа.
Контекст: кибератаки на американские больницы в 2025‑2026 гг.
NYCHHC попала в список крупнейших утечек здоровья за 2025 год. По данным ежегодного отчёта ФБР о киберпреступности, в сфере здравоохранения наблюдается рост атак типа ransomware‑шифровальщик почти на 30 % по сравнению с предыдущим годом.
Самый громкий случай – взлом Change Healthcare (подразделения UnitedHealth) в январе 2025 года, где разместились данные более 190 млн американцев. Это — крупнейший в истории случай кражи медицинской информации.
Кроме того, ранее в том же году Национальная ассоциация проблем злоупотребления наркотиками (NADAP) сообщила о «пятитысячной» утечке в системе NYCHHC, но текущий инцидент в разы превышает её масштаб.
Что делает NYCHHC после утечки
Организация заявила, что сеть уже закрыта, а все уязвимости устранены. В ближайшие недели планируется:
- проведение внешнего аудита безопасности у независимых экспертов;
- уведомление всех пострадавших пациентов с рекомендациями по защите личных данных;
- внедрение многофакторной аутентификации и усиленного шифрования для всех хранилищ;
- пересмотр всех договоров с подрядчиками и введение обязательных требований к кибер-защите.
Пока неизвестно, получали ли хакеры какие‑либо выкупы – официально NYCHHC не комментирует такие детали.
Как защитить себя после утечки
Если ваш профиль был частью NYCHHC, лучше сразу:
- Проверить свои кредитные отчёты и включить «заморозку» (credit freeze);
- Сменить пароли на всех аккаунтах, связанных с медицинской информацией;
- Внимательно следить за любыми подозрительными сообщениями, которые могут быть фишинг‑атаками, используя украденные данные;
- Подать запрос в бюро социального страхования о мониторинге возможного использования вашего SSN.
В долгосрочной перспективе стоит просить поставщиков медицинских услуг использовать альтернативные методы аутентификации, если биометрия кажется излишней.
Справка
NYC Health + Hospitals (NYCHHC) – крупнейшая публичная система здравоохранения в США, обслуживающая более 1,1 млн жителей Нью‑Йорка, в том числе большинство получателей Medicaid и Medicare. Основана в 1969 году, сейчас объединяет 11 больниц, 70 поликлиник и несколько школ медицины.
Министерство здравоохранения и социальных служб США (HHS) – федеральный орган, отвечающий за политику в сфере здоровья, включая соблюдение закона HIPAA, который требует от медицинских учреждений уведомлять о значимых утечках данных.
HIPAA (Health Insurance Portability and Accountability Act) – закон 1996 года, регулирующий конфиденциальность и безопасность медицинской информации; нарушение может привести к штрафам до 50 000 долларов за каждый инцидент.
Change Healthcare – технологическая компания, принадлежащая UnitedHealth Group, предоставляющая решения для обработки страховых претензий; в 2025 году пострадала от крупнейшей в истории кибератаки, затронув более 190 млн записей.
FBI Internet Crime Complaint Center (IC3) – подразделение ФБР, собирающее жалобы о киберпреступлениях; ежегодно публикует отчёты, в которых здравоохранение стабильно входит в топ‑10 целей хакеров.
Биометрические данные – уникальные физические характеристики (отпечатки, ладонь, радужка глаза), используемые для идентификации; их утечка считается особенно опасной из‑за невозможности «сменить» такие данные.
Утечка в NYCHHC доказывает, что даже крупнейшие публичные системы не застрахованы от кибератак. Биометрия, личные сведения и медицинские истории – всё это теперь в руках злоумышленников. Самое важное, что пациенты могут сделать сейчас, – это усилить свою индивидуальную защиту и требовать от провайдеров более жёстких мер безопасности.
