美国AdaptHealth披露410万患者数据泄露：第三方承包商凭据被社工获取，ShinyHunters声称负责

攻击路径为社会工程（social engineering）：攻击者通过社工手段获取了一家第三方承包商的访问凭据，进而获得对AdaptHealth患者管理系统与文档存储平台的未授权访问权限。2026年6月15日，威胁行为者主动通知该公司称可能已访问患者文件，公司随后启动调查，于6月20日确认未授权访问。

泄露数据包括姓名、人口统计信息、健康保险详情与健康信息，但公司表示社会安全号码与财务信息未受影响。AdaptHealth已通过Kroll为受影响个人提供免费身份保护服务，有效期至2026年11月13日。截至目前，无证据表明被泄露信息已被滥用。

勒索软件与网络犯罪组织ShinyHunters声称对本次攻击负责。该组织在2025至2026年间以社工手段突破第三方承包商与SaaS供应商凭据的方式，连续实施了多起大规模数据窃取。需说明的是，攻击方声称的责任归属尚未获得独立第三方确认。

本案的合规要点在于供应链责任：事件入口并非AdaptHealth自身系统，而是第三方承包商的凭据安全。美国医疗行业2026年同类事件频发，其中Aesto Health事件波及至少二十余家医疗机构客户、合计超950万人。

美国卫生与公众服务部数据显示，截至2026年9月中旬，因黑客攻击或IT事件导致的重大数据泄露通报已超过424件，合计影响约7300万人。美国国会正推进《地方医院网络安全强化法》（H.R. 9908）等结构性改革方案，以加强地方医疗机构的网络安全防护与资源支持。