Хакеры похитили медданные и отпечатки пальцев 1,8 млн пациентов крупнейшей публичной больницы США

Крупнейшая публичная система здравоохранения США NYC Health + Hospitals (NYCHHC) сообщила об утечке данных, затронувшей не менее 1,8 млн человек. Злоумышленники на протяжении трёх месяцев копировали файлы с серверов организации — и вынесли не только медицинские записи, но и биометрические данные, которые пострадавшие не смогут изменить никогда.

Организация обслуживает более миллиона жителей Нью-Йорка, большинство из которых не имеют частной страховки и получают медицинскую помощь по государственным программам, в том числе Medicaid. Информация об инциденте направлена в Министерство здравоохранения и социальных служб США, что автоматически делает его одной из крупнейших медицинских утечек 2026 года.

Три месяца незамеченного доступа

По данным самой NYCHHC, атака была обнаружена 2 февраля 2026 года — именно тогда организация заблокировала несанкционированный доступ и начала расследование. Однако хакеры проникли в сеть ещё в ноябре 2025 года: на протяжении примерно трёх месяцев они беспрепятственно копировали файлы с внутренних систем.

Вектором атаки стал сторонний подрядчик, название которого NYCHHC не раскрывает. Это типичная схема: злоумышленники взламывают менее защищённого партнёра и через него получают доступ к инфраструктуре основной цели. Почему обнаружение заняло столько времени и поступали ли от хакеров требования о выкупе — организация пока не прокомментировала.

Состав похищенных данных охватывает практически весь цифровой профиль пациента: сведения о страховом полисе, диагнозы, назначенные препараты, результаты анализов и медицинская визуализация, платёжная информация и история выставленных счетов. Помимо этого, скомпрометированы государственные документы — номера социального страхования, данные паспортов и водительских удостоверений.

Биометрия — самая болезненная часть утечки

Особую тревогу вызывает кража биометрических данных: отпечатков и слепков ладоней. В отличие от пароля или даже номера карты, биометрию невозможно сбросить или перевыпустить — она остаётся с человеком на всю жизнь. Сотрудники NYCHHC традиционно сдают отпечатки пальцев при трудоустройстве для проверки криминального прошлого, однако организация не уточнила, были ли скомпрометированы биометрические данные пациентов.

Отдельного внимания заслуживает пункт об утечке «точных геоданных». По всей видимости, речь идёт о метаданных, встроенных в фотографии документов, которые пользователи загружали через приложение или портал: смартфоны нередко сохраняют GPS-координаты в EXIF-данных снимка. Таким образом, хакеры могли получить не только копию паспорта, но и точное место его фотографирования.

Сайт NYCHHC в понедельник утром временно ушёл в офлайн. Представители организации не ответили на запрос TechCrunch с вопросами о причинах столь длительного необнаружения взлома и возможных требованиях выкупа.

Здравоохранение остаётся главной мишенью для вымогателей

Инцидент вписывается в устойчивую тенденцию: согласно последнему годовому отчёту ФБР о киберпреступности за 2025 год, медицинская отрасль по-прежнему лидирует среди жертв атак с использованием программ-вымогателей. Схема стандартна — злоумышленники проникают в базы данных, копируют информацию, шифруют серверы жертвы и угрожают публикацией данных, если не получат выкуп.

Масштаб нынешней утечки меркнет на фоне атаки на Change Healthcare — дочернюю структуру UnitedHealth. Тогда хакеры, предположительно связанные с Россией, похитили медицинские и платёжные данные более 190 млн американцев, что считается крупнейшей кражей медицинских данных в истории США. Нынешний инцидент с NYCHHC, затрагивающий 1,8 млн человек, тем не менее входит в число наиболее серьёзных за 2026 год.

Важно отметить, что данная атака не связана с недавним взломом National Association on Drug Abuse Problems (NADAP), в результате которого пострадали данные более 5 000 пациентов NYCHHC — это отдельный инцидент с другим вектором.

Что это значит для рынка кибербезопасности

Для белорусских IT-компаний, работающих с медицинскими данными или строящих решения для здравоохранения, этот случай — наглядная иллюстрация двух системных рисков. Первый — уязвимость цепочки поставщиков: взлом произошёл не напрямую, а через партнёра с более слабой защитой. Второй — хранение биометрии без чёткой политики: NYCHHC так и не объяснила, зачем вообще держала отпечатки пальцев в той же инфраструктуре, что и медицинские записи.

Резиденты Парка высоких технологий, разрабатывающие healthtech-продукты для западных рынков, обязаны соответствовать требованиям HIPAA (США) и GDPR (ЕС) в части обработки чувствительных данных. Инцидент с NYCHHC — весомый аргумент в пользу сегрегации биометрических баз, сквозного мониторинга активности сторонних подрядчиков и регулярного аудита прав доступа. Три месяца незамеченного присутствия в сети — это не только репутационный, но и регуляторный провал, последствия которого организация будет разгребать ещё долго.

— По материалам TechCrunch: оригинальная статья. Перевод и адаптация — редакция Digital Business.