美国AdaptHealth确认7月攻击致411.58万人数据泄露：第三方承包商遭社工攻击，ShinyHunters认领

攻击路径是本案的核心教训。入侵并非来自AdaptHealth自身系统漏洞，而是攻击者对一家第三方承包商的特权账号实施社工攻击获取凭据。攻击者借此获得了与保险计费相关的存储密码文件以及对外部电子病历门户的访问权限。相关账号已被禁用、凭据已重置并追加了访问控制措施。

AdaptHealth称不收集患者社会安全号码，财务账户与支付卡信息亦未存储于被攻陷系统，且未发现数据被实际滥用，但仍为受影响者提供12个月免费信用监控与身份盗用防护服务。公司业务与患者服务未受影响。

该攻击被安全研究界普遍归因于ShinyHunters组织。该组织曾将AdaptHealth列入其数据泄露站点并威胁公开，随后条目被移除，可能意味着谈判结束或策略调整。无论站点条目是否存续，数据一经外流即应被视为永久失陷。

AdaptHealth在美国50个州运营约680个网点，主要服务 Medicare 与 Medicaid 参保的慢病人群。诊断信息叠加保险信息构成极具价值的画像数据集，而该人群又是医疗欺诈的高频目标。家用医疗设备与家庭护理机构处于临床敏感度与运营规模的交叉点，安全投入却往往接近中型零售商水平，是医疗行业的薄弱环节。