Утечка данных Quest Diagnostics: что известно о компрометации медицинских записей пациентов

По сведениям Yahoo, злоумышленники получили часть персональных данных и медицинских записей пациентов. Масштаб утечки пока не установлен. Для пациента значение имеют две проверки: использовал ли его врач или клиника Quanum LSM и входят ли его записи в область расследования.

Подтверждённый периметр

Quest узнала о несанкционированном доступе 21 октября 2026 года. Компания раскрыла инцидент в Form 8-K, поданной в SEC 22 октября, и приостановила доступ к Quanum LSM для локализации инцидента и проведения проверки.

Прямые подключения к лабораторным системам и электронные медицинские карты не были затронуты. Существенного сбоя основных тестовых операций Quest также не зафиксировала. Это ограничивает вероятную зону воздействия, но не отменяет утечку данных из самой платформы.

По материалам Quest, Quanum используют около 500 тысяч клиницистов в тысячах учреждений Северной Америки. Более широкий контур сети Quest, по данным Yahoo, охватывает примерно половину врачей и больниц США и одну треть взрослого населения страны ежегодно.

В системе хранятся медицинские записи, диагностические данные и сведения, связанные с выставлением счетов. При этом Quest сообщила только о доступе к определённым записям пациентов. Это не означает, что скомпрометирован весь массив данных Quanum.

Компания уведомила правоохранительные органы и привлекает внешних специалистов по кибербезопасности. Отдельно Quest заявила, что инцидент не связан с уязвимостью языка PHP, раскрытой в ту же неделю.

Чего пока нет

Ключевые параметры утечки остаются неизвестными:

• число затронутых пациентов и медицинских организаций;
• точные категории полученных персональных и медицинских данных;
• срок начала взлома;
• сведения о том, копировались ли данные, публиковались или использовались для вымогательства;
• срок индивидуальных уведомлений пациентов.

Согласно оценке Yahoo, организации, подпадающие под федеральное законодательство о защите медицинской информации, обычно уведомляют пострадавших в течение 60 дней после подтверждения утечки. Это ориентир accountability, а не объявленный Quest график.

Для контекста: в 2019 году после кибератаки на стороннего поставщика биллинга Quest лишилась 11,9 миллиона записей пациентов. Текущий инцидент стал вторым известным крупным нарушением безопасности компании за десятилетие. Прямое сравнение двух событий требует закрытия текущего расследования.

Что проверить пациенту и клинике

1. Уточнить у врача или администратора клиники, используется ли Quanum LSM для заказа тестов, получения результатов или обработки биллинга. Если платформа не использовалась, оснований считать пациента потенциально затронутым пока нет.

2. Проверить канал, через который клиника направляет официальные уведомления Quest. Отсутствие письма на момент публикации не подтверждает безопасность: масштаб утечки ещё не определён.

3. В индивидуальном уведомлении проверить конкретные категории данных, даты обращения к ним, номер затронутой записи и наличие инструкций для пациента. Формулировка о «части персональных данных» недостаточна для оценки риска.

4. Уточнить, планирует ли Quest предоставить мониторинг кредитной истории или другие услуги защиты личности. На момент проверки такие меры не были официально объявлены.

5. Клиникам стоит проверить статус временно приостановленного доступа и убедиться, что заказы и результаты, зависшие в Quanum LSM, не потеряны. Прямые лабораторные подключения и электронные карты компания считает незатронутыми.

Для пациентов за пределами США, не пользовавшихся услугами Quest, подтверждённых оснований для тревоги нет. Для тех, чьи врачи работают через Quanum LSM, риск остаётся неопределённым до публикации перечня пострадавших.

Вердикт: данные скомпрометированы, масштаб ущерба не подтверждён. Любые числовые оценки по числу пострадавших до завершения расследования будут спекуляцией.