美国Catalyst Physician Group通报医疗数据泄露：第三方供应商Aesto遭入侵，波及客户机构合计约950万人

据披露，Aesto的亚马逊云服务基础设施的有限部分发生网络安全事件，未经授权的行为者可能在2025年12月2日至12月18日期间访问或获取了其中存储的患者记录。Aesto在完成取证调查与人工文件复核后，于2026年5月26日确认受影响数据；向个人的通知函日期为2026年9月11日。

可能被泄露的信息包括患者全名及其他因个人而异的受保护健康信息。由于健康数据可能被用于医疗身份盗用、保险欺诈与定向钓鱼，受影响患者被建议保持警惕。Catalyst Physician Group为受影响个人提供由IDX提供的免费身份盗用保护服务，注册截止日期为2026年12月11日。

就事件规模而言，Catalyst Physician Group自身受影响人数未公开披露，但Aesto事件的更广泛范围已被报告至联邦监管机构，涉及约950万名个人，覆盖其多家医疗服务机构客户。该事件亦已通知加利福尼亚州总检察长，相关律所已就潜在集体诉讼展开调查。

该案再次凸显供应链风险在医疗数据领域的传导效应：控制者可以选择供应商，但无法把安全责任一并转移。从2025年12月发现入侵到2026年5月确认数据、再到9月发出个人通知，时间跨度较长，也提示第三方数据处理协议中的事件响应时限、通报义务与取证配合条款需要具备可执行性。