美国医疗科技公司Astrana Health向SEC披露网络安全事件：攻击者冒充员工并伪造公司总机号码实施社工攻击

上述攻击者利用伪造号码联系部分员工，最终获得对Astrana系统的未授权访问，导致公司认定该网络安全事件具有重大性。该事件使Astrana Health成为最新一家因泄露事件向SEC披露的医疗科技公司。

上市公司如今同时面临SEC披露时限与HIPAA规则下的通报义务，而两者的触发条件与时限并不相同，形成并行的合规时钟，对合规团队的事件分级与披露节奏提出更高要求。

截至披露时，Astrana Health尚未通知受影响个人，也未公开可能被泄露的具体数据类型，这一处理方式可能涉及州法与联邦法层面的通报义务争议，已引发美国集体诉讼律所的关注与调查。

从攻击手法看，本案属于典型的"语音钓鱼＋来电号码伪造"组合，攻击者绕开了纯技术防护，直接针对人员实施欺骗。此类攻击对医疗机构构成特殊风险，因为医疗机构普遍设立公开的预约与咨询电话，员工对来自"公司总机"的来电警惕性较低。该案也与近期美国多起医疗数据泄露形成同一趋势：掌握完整临床记录但安全预算远低于大型医院的机构，正成为监管与诉讼的高发落点。