因泄露超23.5萬患者數據，地方醫療機構賠償超千萬元
責編：gltian ｜2024-11-19 10:31:52美國紐約州一家法院已初步批準一項150萬美元（約合人民幣1086萬元）的和解協議，用于解決針對One Brooklyn Health健康系統的修訂后合并擬議集體訴訟。該訴訟源于2022年11月的一次網絡攻擊事件，該事件導致超過23.5萬人的敏感健康數據遭到泄露。
此次事件波及One Brooklyn Health旗下位于紐約市布魯克林區的三家醫院，包括Brookdale醫院醫療中心、Interfaith醫療中心和Kingsbrook猶太醫療中心，以及多個護理院和健康診所。
訴訟指控之一是，One Brooklyn Health未能合理地保護、保障或存儲原告和集體成員的個人身份信息和受保護健康信息，導致相關人員面臨身份盜竊和欺詐犯罪的風險。
訴訟指控One Brooklyn Health未能合理保護、保障或存儲原告及集體成員的個人身份信息和受保護的健康信息，導致相關人員面臨身份盜竊和欺詐風險。
訴訟還指控One Brooklyn Health違反了紐約州消費者保護法，并未及時向受影響人員通報數據泄露事件。
One Brooklyn Health否認了所有指控。
人均最高獲賠2600美元
根據擬議的和解協議，符合條件的集體訴訟成員可以提交索賠，最高可獲得2500美元的實際自付損失賠償，以及處理數據泄露后果所花費的時間補償（最高4小時、每小時25美元）。
此外，和解協議允許集體訴訟成員申請兩年的信用監控服務。
作為替代選擇，集體訴訟成員可以放棄文件損失賠償和信用監控服務的申請，直接領取一筆固定金額的現金補償。這筆補償金額將在扣除其他索賠和費用后由和解基金決定。
和解協議還建議向八名原告每人支付1000美元的服務獎勵。根據法院文件，原告律師計劃從和解基金中提取高達三分之一的金額（約50萬美元），并申請補償不超過5萬美元的訴訟費用。
此外，該協議要求One Brooklyn Health增強數據安全措施。這些改進的費用將由One Brooklyn Health自行承擔，與和解基金無關。法院文件并未具體說明One Brooklyn Health將實施哪些安全措施。
紐約州最高法院（位于國王縣）計劃于2025年2月26日召開和解協議最終批準聽證會。
數據泄露詳情
此次合并擬議集體訴訟的核心是One Brooklyn Health于2022年11月首次檢測到的網絡攻擊。當時，該醫療機構發現其網絡中存在可疑活動。這一事件導致其IT系統，包括電子健康記錄和患者門戶網站，長達一個多月無法正常訪問。
根據One Brooklyn Health于2023年發布的數據泄露通知，調查顯示，2022年7月9日至2022年11月19日期間，一名未經授權的行為者從其IT系統中獲取了“一定數量”的數據。
調查進一步發現，網絡犯罪分子在此次攻擊中未經授權訪問并竊取了超過23.5萬人的個人身份信息，其中包括患者、員工及其配偶、受撫養人和受益人。
受影響的信息包括姓名、社會安全號碼、駕照或州身份證號碼、出生日期、金融賬戶信息、醫療治療記錄、處方信息、診斷信息以及健康保險信息等。
截至目前，One Brooklyn Health尚未公開聲明此次事件是否涉及勒索軟件。
One Brooklyn Health于2023年1月18日向美國衛生與公眾服務部（HHS）報告了此次數據泄露，描述為涉及網絡服務器的黑客事件，并稱影響了500人。這一數字似乎是初步估算。
截至2023年11月8日，HHS民權辦公室的《健康保險流通與責任法案》(HIPAA)數據泄露報告工具中仍顯示此事件的受影響人數為500人。而根據One Brooklyn Health于2023年4月20日向緬因州總檢察長提交的報告，實際受影響人數為235251人。
代表One Brooklyn Health處理數據泄露訴訟的律師未立即回應外媒信息安全媒體集團（ISMG）的置評請求。
原告律師事務所Shub & Johns LLC的律師本杰明·約翰斯（Benjamin Johns）在聲明中表示：“我們對法院初步批準和解協議感到滿意，并期待進行最終批準?！彼淳驮摪傅钠渌麊栴}作進一步評論。
參考資料：https://www.govinfosecurity.com/one-brooklyn-agrees-to-15m-settlement-in-2022-hack-lawsuit-a-26830