美国透析巨头DaVita就勒索泄露近270万患者数据达成1500万美元和解

事件经过：2025年4月12日，Interlock勒索组织入侵DaVita网络，加密文件并窃取数据。由于DaVita拒绝支付赎金，该组织直接在泄露网站上公开了约1.5TB被盗数据。

受影响规模为2,689,826人（近270万人）的受保护健康信息（PHI），泄露内容包括姓名、联系方式、社保号、医保信息、临床与透析检验结果，部分受害者还涉及税务识别号与支票影像。医疗记录无法像支付卡一样挂失重发，其长期滥用风险显著高于一般个人信息。

经济账值得关注：该攻击在2025年当年即给DaVita造成约2500万美元直接损失，高于和解金额本身；而据估算每位受害者实际预计仅能获赔约50美元。DaVita 2025年营收136亿美元，否认责任但选择以和解结案。

对数据合规的启示有三点：其一，勒索事件中「拒付赎金」并不降低数据泄露的法律责任，反而往往导致数据被公开、扩大损害范围；其二，HIPAA项下的受保护健康信息泄露，集体诉讼和解成本已成为可量化的风险项，应纳入安全预算；其三，原告核心指控是「未采取合理网络安全措施」，与HHS民权办公室多起勒索调查的执法落点一致——未开展充分的风险分析。