Quest Diagnostics 已告知监管机构，一个未经授权的第三方访问了其一个系统，且“某些患者记录”可能受到影响。这一披露是在一份监管文件中作出的，由 SecurityWeek 报道，核心涉及 Quanum Lab Services Manager——一个某些客户可用于下检测订单的平台。细节仍然有限，但 Quest Diagnostics 数据泄露患者记录 事件已经为任何在美国做过血液检查或其他实验室检测的人提供了有用的教训。
Quest 就 Quanum 泄露披露了什么
根据来源报道，Quest Diagnostics 在一份监管文件中报告了 Quanum Lab Services Manager 遭到未经授权访问。该平台被某些客户——即医疗保健提供者和类似组织——用于下实验室检测订单。它并不是大多数患者自己登录使用的面向消费者的应用。
该公司表示，它认为某些患者记录涉及其中。对该文件的报道还表明，完整范围仍在调查中。社交媒体上流传的一些关于该事件的帖子提出了更宽泛的说法，包括哪些数据类型被暴露。由于该文件本身仅以笼统措辞描述，在 Quest 或监管机构公布更多细节之前，这些说法应谨慎对待。
我们能有把握说的内容有限：一个面向客户的订购平台遭到未经授权访问，据信某些患者记录受到影响，调查正在进行中。随着公司了解更多情况，读者应预期情况会发生变化。
为什么实验室检测订购平台是医疗隐私的薄弱环节
大多数人把实验室视为一个单一组织。实际上，一次检测涉及一连串参与方：你的医生办公室、实验室、计费系统以及连接它们的软件。像 Quanum 这样的门户存在，是为了让外部客户能够发送订单并接收信息，这意味着它们在设计上就持有患者详细信息，并且可被来自许多地点的许多用户访问。
这种组合创造了风险。每一个连接的客户都是另一组可能被攻击的凭据、设备和员工。一个为跨许多组织提供便利而构建的系统，对攻击者来说也是有价值的单一访问点。你可能从未听说过这个平台，但仅仅因为某个提供者选择了某个实验室，你的记录就可能经过它。
这也是为什么患者常常间接得知数据泄露。你直接打交道的组织可能并不是被入侵的那个，因此通知可能来自一家你不认识的公司。
这对你意味着什么
如果你曾直接或通过医生使用过 Quest Diagnostics，实际的信息是保持警惕，而不是恐慌。并非每位患者都受到影响，公司也未公布暴露数据的完整清单。
现在可以这样做：
- 留意邮件和电子邮件中的通知信。 发生影响个人信息的数据泄露的组织，通常应当通知相关人员。仔细阅读任何通知，并保留一份副本。
- 考虑信用冻结。 冻结是免费的，并限制他人以你的名义开立新信用。如果通知称身份识别细节涉及其中，这是一项明智的预防措施。
- 对有关你健康的意外消息保持怀疑。 提到检测结果、账单或“核实你的记录”的短信、电话或电子邮件可能是网络钓鱼企图。使用你自己找到的电话号码或网站联系 Quest 或你的提供者，而不是消息中提供的号码或网站。
- 检查你的账户和对账单。 检查银行、保险和健康门户的活动是否有任何不熟悉之处，并及时报告问题。
- 加强你的登录。 在患者门户、电子邮件和金融账户上使用唯一密码和多因素认证。
数据泄露后被盗健康数据如何被利用
医疗信息具有吸引力，因为它将身份细节与敏感背景结合起来。犯罪分子可以利用它制作令人信服的网络钓鱼消息，引用真实的提供者或真实的检测，这使人们更有可能点击或分享更多信息。身份细节也可用于欺诈企图。
还有第二种用途已变得更加常见：施压。被盗记录可被用来胁迫组织，攻击者威胁除非满足要求，否则将公布这些记录。我们关于声誉如何成为勒索软件数据勒索中的武器的说明文章介绍了为什么被盗数据已成为谈判工具。关于 Quest 的来源报道并未称此处涉及勒索，因此这是背景信息，而非关于本事件的断言。
还值得注意的是，数据泄露后的指导可能因被盗内容而异。在一个无关案例中，一家酒店公司建议受影响的客人，在身份文件暴露后实际更换护照和驾照。那家公司与 Quest Diagnostics 无关，但该示例说明了为什么通知中列出的具体数据类型比头条新闻更重要。
关键要点
Quest Diagnostics 数据泄露患者记录的披露仍在发展中，受影响的确切人数和数据类型尚未公开。在公开之前，几个习惯可以覆盖大部分风险：
- 留意数据泄露通知信，并仔细阅读。
- 如果通知提到身份识别信息，冻结你的信用。
- 将意外的健康或账单消息视为可疑，并通过官方渠道核实。
- 为你的关键账户开启多因素认证。
要理解为什么被盗记录在最初的头条新闻很久之后仍可能重要，请阅读我们关于勒索软件数据勒索的文章，然后今天花十分钟锁定你的信用和账户。
