美国UTS医疗数据泄露波及380万人：HHS OCR列入2026年迄今最大医疗泄露

Unlimited Technology Systems（UTS）是俄亥俄州蒙哥马利市的收入周期管理与诊所管理系统软件提供商，为全美医疗机构提供计费、理赔与执业管理服务。2025年10月19日，UTS发现其商业数据中心存在未授权活动，经外部取证确认攻击者在10月5日至10日期间复制了文件，其中包含其客户患者的个人与受保护健康信息。公司于2026年7月底向HHS报告受影响人数为3,803,750人，HHS OCR于8月6日将其列入公开泄露门户，超过TriZetto Provider Solutions的约340万，成为2026年迄今美国最大医疗相关泄露。 泄露数据类型涵盖姓名、地址、邮箱、电话、出生日期、健康保险信息、患者余额信息、社保号、诊断等医疗信息，以及驾照、政府身份证件的扫描件；UTS声明完整病历、医学影像和金融账户信息未受影响。然而安全专家指出，社保号+出生日期+地址+保险+诊断的组合已足以支撑医疗与金融双重欺诈，即使没有完整病历，也构成强力的身份盗窃工具包。UTS已委托Kroll为受影响个人提供两年免费信用监控、欺诈咨询与身份恢复服务，并声明未发现数据被实际滥用的证据，也暂无勒索组织公开认领。 从事件发现（2025年10月）到向HHS通报（2026年7月底）相隔约9个月，而HIPAA泄露通知规则要求涉及500人以上泄露的实体在发现后60天内通知HHS，通报时限是否合规已引发监管关注。该事件同时凸显医疗行业第三方供应商的集中风险：UTS并非医院或保险公司，但一家收入周期服务商的单一数据中心存有数千家机构的计费与理赔数据，2026年十大医疗泄露中有六起涉及业务伙伴，医疗供应链中最薄弱的环节往往是夹在中间的软件与技术服务商。 监管层面，HHS已提出HIPAA安全规则更新草案，试图强化业务伙伴的安全要求。对医疗机构而言，本次事件提醒其在签订供应商合同时须评估业务伙伴的数据集中度与事件响应能力；对患者而言，即使从未听说过UTS，其数据也可能因诊所使用该软件而被卷入泄露，须留意异常账单、身份冒用迹象并善用免费信用监控。该案与2024年Change Healthcare事件逻辑一致——医疗数据的泄露风险正日益集中于供应链节点而非传统医疗机构本身。