Утечка медицинских данных Anthem

4 февраля 2015 года компания Anthem Inc. сообщила, что киберпреступники взломали её серверы и, возможно, похитили более 37,5 миллиона записей, содержащих персональные данные клиентов^[1]. 24 февраля 2015 года Anthem увеличила количество затронутых лиц до 78,8 миллиона^[2]. По информации Anthem Inc., утечка затронула несколько брендов, используемых компанией для продвижения медицинских страховых полисов: Anthem Blue Cross, Anthem Blue Cross and Blue Shield, Blue Cross and Blue Shield of Georgia, Empire Blue Cross and Blue Shield, Amerigroup, Caremore, UniCare^[3]. Также Healthlink заявила, что стала жертвой данной утечки^[4]. Anthem утверждает, что медицинская информация и финансовые данные пользователей не были скомпрометированы, а пострадавшим была предложена бесплатная услуга мониторинга кредитной истории^[5].

Майкл Дэниел, главный советник президента Барака Обамы по кибербезопасности, прокомментировал, что изменит свой собственный пароль^[6]. По данным газеты The New York Times, было взломано около 80 миллионов записей, а эксперты опасаются, что похищенные данные могут быть использованы для кражи личных данных^[7]. Скомпрометированная информация включала имена, даты рождения, медицинские идентификаторы, номера социального страхования, почтовые адреса, адреса электронной почты и сведения о занятости, включая данные о доходах^[8][9].

Похищение данных происходило в течение нескольких недель до того, как утечка была обнаружена^[10].

Поскольку медицинская информация не была скомпрометирована, компания Anthem не была обязана по закону шифровать эти данные^[11]. Тем не менее, против Anthem были поданы несколько коллективных гражданских исков, урегулированных в 2017 году на сумму 115 миллионов долларов при отсутствии признания вины со стороны Anthem^[12].

Ожидается, что похищенная информация появится на чёрном рынке^[13].

Для лиц, чьи данные были украдены, могут возникнуть пожизненные последствия, связанные с кражей личных данных^[14]. У Anthem был страховой полис на сумму 100 миллионов долларов на случай киберрисков от American International Group^[15]. По некоторым оценкам, вся эта сумма могла быть потрачена только на уведомление клиентов о случившемся^[15].

Anthem наняла компанию Mandiant, специализирующуюся на кибербезопасности, для проверки своих систем безопасности, а пострадавшим рекомендовала следить за счетами и проявлять бдительность^[16][17].

Кража данных спровоцировала опасения относительно увеличения числа подобных случаев, связанных с утечкой медицинской информации^[18][19]. По мнению одного из авторов юридической школы Гарвардского университета, инцидент может привести к реформе стандартов безопасности и регулированию обращения с данными на государственном уровне^[20].

Расследование, проведённое рядом государственных страховых комиссий, обвинило в утечке неизвестного атакующего, предположительно действовавшего по заказу иностранного государства, чьё имя не было обнародовано^[21]. Сделан вывод, что до взлома компания предприняла разумные меры по защите информации, а план по устранению последствий оказался эффективным. Дата начала инцидента определяется как 18 февраля 2014 года^[21]. Главным регулятором выступал Департамент страхования штата Индиана, где находится штаб-квартира Anthem^[22]. Для аудита безопасности были привлечены независимые эксперты, которые отметили, что обнаруженные недостатки не являются уникальными для компаний сопоставимого размера и, несмотря на негативное влияние на быстроту реагирования, меры, принятые после взлома, должны повысить эффективность защиты в будущем^[22].

Федеральные регуляторы также провели расследование, в результате которого был заключён крупнейший в истории соглашения по компенсации ущерба утека данных между Anthem и Министерством здравоохранения и социальных служб США (HHS) на сумму 16 миллионов долларов^[23]. Представитель HHS заявил, что «крупнейшая в истории утечка медицинских данных заслуживает самого крупного штрафа в истории по закону HIPAA. К сожалению, Anthem не реализовала достаточных мер для своевременного обнаружения присутствия хакеров в системе и кражи персональных данных граждан»^[23]. Соглашение обязывало Anthem провести оценку рисков и устранить выявленные недостатки под контролем ведомства^[23].

В связи с инцидентом против Anthem было подано около 100 коллективных исков, которые были объединены в федеральном суде Калифорнии под председательством судьи Люси Кох, признанного специалиста в области судебных разбирательств по утечкам данных^[24]. Судья назначила сопредседателями группы истцов Ив Сервантец и Энди Фридмана, а также поручила возглавить комитет управляющих истцами Эрику Гиббсу и Майклу Собелу^[25]. В 2017 году Anthem согласилась выплатить 115 миллионов долларов, что стало крупнейшим на тот момент мировым соглашением по коллективному иску об утечке данных^[26]. Адвокаты ходатайствовали о выплате им 38 миллионов долларов в виде гонораров; суд признал обоснованными только 31 миллион^[27].