美国医疗数据迁移商Aesto Health向HHS备案954万人：AWS环境遭入侵，通知耗时近九个月

根据通报，该公司于2025年12月18日发现其部分AWS基础设施存在未授权活动并实施控制，外部网络安全专家调查后确认，未授权第三方在2025年12月2日至18日期间访问并获取了数据，实际窃取历时约两周。

外泄字段包括姓名、社保号、驾照与其他身份证件号码、出生日期、金融账户号码、医疗信息、健康保险信息与纳税人识别号，这一组合使受害者同时面临身份盗用、医疗欺诈与金融欺诈三类风险。

时间线显示，公司直到2026年5月26日才经取证调查与人工文档审阅确认泄露范围，6月26日起通知受影响的医疗服务提供方客户，8月21日起开始向个人发出通知信并提供24个月身份盗用监控与信用监测服务。

受影响人群是至少二十余家、部分统计为29家医疗服务提供方的患者，其中多数人从未与Aesto Health建立直接关系，很多人是在被告知数据被盗的信件中才第一次得知自己的病历曾由第三方迁移。就第三方供应商风险而言，真正的失效点不在于检测能力，而在于从控制事态到确定究竟什么数据外流之间的响应能力缺口。