青少年体育赛事及全美大学体育协会保险理赔数据或遭黑客窃取-安全KER

NAHGA公司正通知 18.1 万名相关人员，今年 4 月发生的一起黑客攻击事件可能导致他们的理赔数据泄露，其中包含与体育相关事故的医疗信息。（配图来源：国民意外健康总代理公司）

这家第三方管理机构，主要负责处理日托中心、青少年体育赛事以及全美大学体育协会（NCAA）运动员意外事故的医疗理赔业务。该机构日前告知超过 18.1 万名理赔人，在今年 4 月的黑客攻击事件中，他们的医疗信息和个人身份识别信息可能已被访问或窃取。

延伸阅读：新型攻击频发，成本飙升 —— 数据泄露的真实代价

国民意外健康总代理公司（NAHGA）将自身定位为第三方管理机构，专注于为全美各地的客户处理二次意外保险理赔业务。

这家拥有 30 余年经营历史的公司，服务对象涵盖各类专业机构与大型健康保险公司，业务范围覆盖日托中心、中小学（K-12 阶段）青少年体育赛事及营地活动、全美大学体育协会（NCAA）一级、二级和三级联赛等体育项目、全国影视制作行业，以及摩托车越野赛和短道汽车拉力赛领域。

国民意外健康总代理公司在周五提交给缅因州总检察长的一份数据泄露报告中表示，此次黑客攻击共波及181,160 人。

该公司在其官网发布的泄露通知中指出，4 月 10 日，公司发现其网络出现异常活动。

随后，国民意外健康总代理公司立即采取措施调查异常活动，并对系统进行安全加固。

在第三方网络安全专家的协助下，调查确认，一名未授权人员可能在4 月 8 日至 4 月 11 日期间，访问或获取了存储在公司系统中的部分文件与数据。

“为确定本次事件的影响范围，国民意外健康总代理公司对相关系统展开了全面排查。” 该公司表示，并补充称已于 11 月 14 日开始，向所有留有有效通讯地址的受影响人员发送数据泄露通知。

经核查，此次泄露的数据可能包含个人姓名、社会保障号码、出生日期、驾照号码、健康保险信息，以及医疗诊断或治疗记录。

国民意外健康总代理公司称，已采取多项措施加强系统安全防护，以降低未来发生类似事件的风险。

对于信息安全媒体集团提出的、希望了解此次数据泄露更多细节的请求，国民意外健康总代理公司暂未予以回应。

近数日及数周内，多家全美性律师事务所发布公开声明，表示正就国民意外健康总代理公司的数据泄露事件展开调查，考虑提起集体诉讼。截至周一，已有至少一起针对该公司的联邦集体诉讼提案，因本次数据泄露事件被正式提交。

该诉讼指出，国民意外健康总代理公司安全措施薄弱，未能有效阻止网络犯罪分子访问并窃取其保管的个人身份识别信息和受保护医疗信息，这是造成此次事件的核心原因之一。

诉状中称：“由于被告的数据泄露行为，原告及集体诉讼成员的敏感个人身份识别信息和受保护医疗信息落入网络犯罪分子手中，给原告及相关成员造成了多重损害与重大损失。”

这起针对国民意外健康总代理公司的诉讼，要求法院判令被告承担经济赔偿责任（包括补偿性赔偿和推定赔偿），同时发布强制令，要求该公司采取更完善的措施，保护原告及集体诉讼成员的个人信息与医疗健康信息。

截至周一，卫生与公众服务部的《健康保险流通与责任法案》（HIPAA）数据泄露报告系统中，尚未收录这起波及人数超 500 人的重大健康数据泄露事件。

尽管如此，在 2025 年迄今，第三方服务商及业务合作方已向卫生与公众服务部民权办公室报告了数百起大规模数据泄露事件（含黑客攻击事件），国民意外健康总代理公司此次事件便是其中之一。

2025 年以来，《健康保险流通与责任法案》（HIPAA）框架下已报告的、波及范围最广的业务合作方数据泄露事件，发生在艾匹索斯公司（Episource）。该公司是健康保险公司联合健康集团旗下子公司奥普蒂姆（Optum）的子公司，主营医疗编码与风险调整业务（详见报道：《联合健康集团再曝健康数据泄露事件》）。

6 月 6 日，艾匹索斯公司向卫生与公众服务部民权办公室报告了一起数据泄露事件，波及人数超540 万。该公司在泄露通知中称，其于 2 月 6 日检测到计算机网络出现异常活动。调查结果显示，网络犯罪分子在1 月 27 日至 2 月 6 日期间，访问并窃取了艾匹索斯公司的部分数据副本。