Mt. Baker Imaging 330万美元数据泄露和解：34万患者受影响

一项330万美元的和解金正在分配中，用于解决针对华盛顿州两家医疗保健提供商——Mt. Baker Imaging和西北放射科医师协会（Northwest Radiologists）的集体诉讼，这两家机构在2025年1月遭遇勒索软件攻击，导致超过34万名患者的受保护健康信息（PHI）泄露。此案是美国医疗保健行业持续增长的一种威胁模式的典型例证：勒索软件团伙以医学影像服务商和敏感患者数据集中的计费系统为目标。

对受影响的患者来说，和解提供了一定的经济补偿。但它也引出了一个更广泛的问题：当医疗保健提供商持续成为勒索软件的顽固目标时，个人究竟能做些什么来减少自己的暴露风险？

Mt. Baker Imaging发生了什么

Mt. Baker Imaging是华盛顿州的一家医学影像服务商。它与西北放射科医师协会合作，后者是代表其解读医学影像的独立机构。双方在工作流程中共享患者数据，这意味着其中一方发生泄露，另一方的数据也会暴露。

2025年1月，组织系统发现了一次网络攻击。针对医疗保健提供商的勒索软件攻击通常遵循一种熟悉的模式：攻击者获得内部网络的访问权限，在系统间横向移动，外泄敏感数据，然后加密文件以勒索受害者。此次数据泄露影响了超过34万名患者，由此引发的集体诉讼指控这两家组织未能采取充分的安全措施来保护患者信息。

330万美元的和解并不构成对过错的承认，这是此类集体诉讼和解的标准做法。在2026年8月19日截止日期前提交有效索赔的集体成员，可能有资格获得赔偿。

为什么医学影像服务商是勒索软件的高价值目标

医学影像中心处于临床必要性和数据敏感性的一个有趣交叉点。它们持有诊断影像、转诊记录、计费信息、保险详情和完整的患者病史。与药房或全科医生诊所不同，影像中心还为来自多家外部医疗机构的转诊患者提供服务，这意味着它们的数据库可能格外庞大和多样化。

勒索软件团伙明白这一点。近年来，医疗保健在全球范围内是勒索软件最常针对的行业之一，而影像服务商尤其出现在多起广为人知的事件中。遗留软件依赖、复杂的供应商关系（如Mt. Baker与西北放射科医师协会的安排），以及为了维持运营而不惜一切代价保持在线的运营压力，这些因素共同使这些组织既有吸引力又脆弱。

随着勒索软件继续主导医疗保健网络安全威胁，患者长期承担着不成比例的后果，包括身份盗用风险、保险欺诈，以及可能影响就业或保险承保决策的敏感诊断信息泄露。

这对您意味着什么

如果您在2025年1月之前或当月通过Mt. Baker Imaging或西北放射科医师协会接受了影像服务，您可能是集体成员并有资格提交索赔。请查阅官方和解通知和法院文件，了解资格标准和提交说明。

除了这一具体和解之外，该事件说明了一个残酷的事实：患者无法控制医院或影像中心如何保护其内部网络。Mt. Baker Imaging的数据泄露完全发生在提供商的内部基础设施内。患者在自有设备或家庭网络上采取的任何行动都无法阻止它。在评估哪些个人安全措施真正有用时，这一区别至关重要。

患者能够控制的，是与医疗保健门户和数字健康服务交互时的自身行为。这些与提供商一侧的数据泄露是不同的问题，但仍然值得解决：

在线管理医疗数据的隐私优先实践：

  • 为每个患者门户使用强且唯一的密码。 医疗保健门户日益成为凭据填充攻击的目标，此类攻击利用了从其他数据泄露中窃取的重复使用密码。密码管理器使这一点变得易于管理。
  • 在提供的任何地方启用多因素认证（MFA）。 许多患者门户现在支持MFA。启用它意味着仅凭被盗密码不足以让攻击者访问您的记录。
  • 在公共或共享Wi-Fi上访问患者门户时要谨慎。 在不受信任的网络上，您与网站的连接可能被同一网络上的其他人观察到。VPN会加密您的设备与互联网之间的流量，从而降低传输过程中被拦截的风险。这对门户登录来说是一种有意义的保护，但与Mt. Baker Imaging数据泄露中发生的情况完全无关，后者发生在提供商自己的内部系统上。
  • 定期查阅您的保险理赔说明（EOB）。 利用窃取的PHI进行的欺诈性医疗索赔，通常会在患者以其他方式注意到问题之前就出现在EOB对账单中。
  • 定期索要您的医疗记录并核对其准确性。 由身份欺诈或数据篡改引入的错误可能影响未来的医疗和保险决策。许多提供者被要求应请求提供记录，而审查这些记录是核实存档信息的实用方法。

可操作的要点

Mt. Baker Imaging的和解提醒我们，医疗保健数据泄露会带来真实的经济和个人后果，并且当组织未能履行安全义务时，受影响的患者拥有法律追索权。如果您认为自己是集体成员，请在2026年8月截止日期前了解索赔流程。

更广泛地说，改善您在医疗保健门户方面的数字卫生习惯，独立于任何单一的数据泄露事件，都是值得的。唯一的密码、MFA以及在公共网络上的谨慎，都能在您真正能够影响的方面降低您的暴露风险。对于您无法控制的风险，例如提供商如何保护其内部网络，了解影响您记录的数据泄露事件并监控您的保险和信用活动，仍然是最实际的应对方式。

医疗保健提供商负有保护患者数据的法律和道德义务。当他们未能达到要求时，像这样的和解会追究他们的责任。但患者的意识在整个大局中同样是一个重要的层面。