美国电子病历厂商Veradigm向SEC备案数据泄露：第三方供应商API凭据失窃，涉患者社保号

泄露范围方面，公司确认下载的数据包含患者个人信息，部分含社保号，但明确“不涉及临床或医疗数据”，且凭据仅限该API，未延伸至更广泛的网络、服务器、数据库或其他系统，事件未造成运营中断，公司已启动应急流程并通知执法部门。

规模存在显著争议。勒索组织The Gentlemen于9月5日将Veradigm列入暗网泄露站点，声称掌握逾350万条患者记录，含姓名、住址、社保号、邮箱与电话，并称数据还涉及“担保人”（对患者账户承担财务责任的父母或配偶）的个人信息，要求公司在9月11日前谈判否则公开。Veradigm的备案未确认该归属与规模。

值得注意的口径差异在于：Veradigm称受影响的是“少数客户”，但其客户本身是医疗机构而非个体患者，因此少数客户与大量患者并不矛盾。截至备案日，公司尚未披露完整数据字段、受影响人数、涉事供应商身份及供应商环境最初如何被攻破。

合规教训：这是一起典型的第三方API凭据型泄露，与共享及委托处理、供应链尽调直接相关。企业应审计供应商凭据的作用域与有效期、对API调用量实施异常检测，并将“凭据不随供应商环境暴露”写入数据处理协议的可审计条款。