После сообщения HCA Healthcare об утечке личных данных примерно 11 миллионов пациентов в 20 штатах люди могут опасаться, что их медицинские данные и личность тоже окажутся у злоумышленников.
Мошенничество с медицинскими данными может происходить по-разному: от масштабной утечки до кражи данных одного человека.
Эвелин Миллер заподозрила неладное, когда получила сообщение из отделения неотложной помощи больницы Университета Эмори: ей сообщили, что ждать приёма придётся от 30 минут до часа. Миллер уже не жила в Атланте и не обращалась в эту больничную сеть много лет. Она решила, что это спам, но затем получила похожее сообщение ещё раз.
Когда сотрудник Эмори по имени Майкл позвонил ей, чтобы обсудить результаты обследования после визита в отделение неотложной помощи, Миллер поняла, что произошла ошибка. «Меня поразило, что кто-то смог зарегистрироваться под чужим именем, а документы никто даже не проверил», — сказала она.
Имя и дата рождения Миллер в больничной записи были указаны верно, но адрес — нет. Теперь она живёт в Блейрсвилле, штат Джорджия, в нескольких часах езды к северу от Атланты. Майкл пообещал исправить ошибку. Через неделю Миллер получила от Эмори счёт на сумму более 3 600 долларов.
После неудовлетворительного разговора с сотрудником расчётного отдела больницы Миллер написала ответственному за конфиденциальность. По её словам, в письме она сообщила: «Думаю, здесь что-то происходит: кто-то использует мои данные, а визит и выставленные за него счета, похоже, мошеннические».
Представитель Эмори Хелскер Джанет Кристенбери отказалась комментировать конкретный случай Миллер, но заявила: «Мы серьёзно относимся к таким вопросам и взаимодействуем с нашими командами, чтобы обеспечить соблюдение установленных процессов и процедур».
Миллер, 63-летняя пенсионерка, ранее работавшая администратором в сфере здравоохранения, лучше многих представляла, что могло случиться. Другие могут не узнать о проблеме, пока после кражи не пройдёт много времени.
«Большинство пострадавших узнают о случившемся, когда пытаются жить дальше и выясняется, что счета передали коллекторам», — сказала Ева Веласкес, президент и генеральный директор некоммерческого Центра ресурсов по вопросам кражи личных данных, который бесплатно помогает пострадавшим. Например, человек может подать заявку на ипотеку и обнаружить, что его кредитная история испорчена из-за неоплаченных счетов за медицинские услуги, которые он не получал.
Последствия могут быть двойными. В отличие от других видов мошенничества с личными данными, злоумышленники могут украсть не только персональные сведения — номер социального страхования, дату рождения и адрес, — но и информацию о медицинских записях и лечении. Это может поставить под угрозу здоровье человека.
«Иногда люди не могут получить лекарства по рецепту, если их записи смешались с записями другого человека, — сказала Веласкес. — Возможно, вы не сможете получить необходимое лечение. Последствия могут быть серьёзными».
Кража может затронуть одного человека: например, кто-то похитит его страховую карту или воспользуется ею без разрешения, чтобы оплатить медицинскую помощь. Другой вариант — утечка данных, как в случае с HCA Healthcare. По словам экспертов, данные, похищенные в ходе масштабных утечек, чаще используют для финансового мошенничества, чем для получения медицинской помощи.
По сравнению с другими видами кражи личности медицинское мошенничество встречается редко. Федеральная торговая комиссия США получила 27 821 сообщение о краже медицинских данных, тогда как число сообщений о краже личности при открытии новых кредитных счетов превысило 400 000.
Медицинские данные могут похищать разными способами.
Один преступник — один пострадавший
Если злоумышленник завладеет номером медицинской страховки и водительскими правами или другим документом человека, он может попытаться получить медицинские услуги от его имени.
Переполненные отделения неотложной помощи могут быть удобной целью для мошенников. Как правило, при регистрации пациентов просят предъявить страховые документы и удостоверение личности с фотографией, сказал Рейд Вукмир, врач неотложной помощи из Питтсбурга и представитель Американского колледжа врачей неотложной помощи. При этом больницы не хотят, чтобы люди отказывались от лечения, а у незастрахованных или находящихся в трудном положении пациентов таких документов может не быть.
«Мы хотим помогать этим людям, — сказал он. — Мы — система последней надежды в Америке. Мы всегда оказываем помощь».
Медицинские данные могут украсть, например, если человек потеряет кошелёк со страховой картой или письмо от страховой компании попадёт не по адресу. Но мошенничество происходит не только между незнакомцами. Пострадавший часто знает преступника и иногда сам участвует в так называемом «дружеском мошенничестве». Согласно одному исследованию, почти половина людей, не сообщивших о краже медицинских данных, объяснила это тем, что знала злоумышленника.
Например, у человека может быть выше доплата за обращение в отделение неотложной помощи, сказал Вукмир. Тогда он разрешает родственнику — скажем, двоюродному брату или сестре — воспользоваться его страховой картой, чтобы получить медицинскую помощь.
«Обычно в таких случаях речь не шла о неотложной ситуации», — сказал Вукмир.
Крупные группы злоумышленников — миллионы пострадавших
Согласно анализу данных Управления по гражданским правам Министерства здравоохранения и социальных служб США, проведённому изданием HIPAA Journal, 707 утечек медицинских данных затронули почти 52 миллиона пациентов. По федеральному закону медицинские организации обязаны уведомлять людей, если их медицинские данные раскрыты в результате утечки.
Самая крупная известная утечка медицинских данных произошла в Anthem: тогда оказались раскрыты записи почти 80 миллионов человек. Хотя число инцидентов среди всех медицинских страховых планов несколько снизилось по сравнению с предыдущим годом, общая тенденция была восходящей. Утечки обычно происходят из-за хакерских атак или инцидентов в сфере информационных технологий.
Американская ассоциация больниц «серьёзно обеспокоена» деятельностью хакерских группировок из таких стран, как Россия, Китай, Северная Корея и Иран, сказал Джон Ригги, национальный советник ассоциации по кибербезопасности и рискам.
По словам Ригги, личные данные из медицинских записей могут продавать преступникам оптом. Те создают фиктивных поставщиков медицинских услуг и массово подают мошеннические заявки на возмещение расходов. Это может привести к мошенничеству с программами Medicaid, Medicare и другими видами страхования на сотни миллионов долларов. Другой вариант — использовать данные для создания поддельных личностей и подачи заявок на займы, ипотеку или кредитные карты.
«Они скрываются с деньгами, а человеку приходится разбираться с последствиями», — сказал Ригги.
По мнению Ригги, медицинские страховые компании могли бы перенять у финансовой отрасли методы выявления подозрительных операций. Финансовые учреждения используют сложные алгоритмы, чтобы обнаруживать необычные модели покупок и другие нетипичные действия. В здравоохранении такие системы могли бы, например, отмечать заявки, если поставщик медицинских услуг находится более чем в 1 000 милях от места жительства пациента или лечит его от заболеваний, не соответствующих возрасту или состоянию здоровья.
Что делать
Регулярно проверяйте уведомления и счета от страховых компаний и медицинских учреждений. Если заметите что-то подозрительное, сразу свяжитесь с ними.
В случае Миллер неясно, была ли проблема вызвана административной ошибкой — например, тем, что у другого пациента совпало имя, — или кражей медицинских данных. Однако в течение месяца после её первого звонка больница аннулировала начисления и заверила Миллер, что её медицинскую карту отделили от карты другого пациента.
Также можно предпринять следующие шаги:
- Изучите рекомендации Федеральной торговой комиссии США по защите от кражи личности и, если это уместно, подайте заявление о такой краже.
- Если кто-то воспользовался вашим именем, свяжитесь со всеми медицинскими учреждениями, которые могли быть причастны к случившемуся, и запросите копии медицинских записей. Сообщите поставщикам медицинских услуг об обнаруженных ошибках.
- Уведомите отдел по борьбе с мошенничеством своей медицинской страховой компании и отправьте туда копию заявления, поданного в Федеральную торговую комиссию США.
- Бесплатно установите оповещения о возможном мошенничестве в трёх крупнейших бюро кредитных историй и запросите у них бесплатные кредитные отчёты. Подумайте о подаче заявления в полицию. Если страховой план предлагает бесплатный мониторинг кредитной истории или защиту от кражи личности после утечки, воспользуйтесь этой услугой.
«Лучше исходить из того, что ваши данные уже скомпрометированы и могут быть выставлены на продажу, — сказала Веласкес, чья организация бесплатно помогает людям восстановиться после кражи личности. — Не бойтесь просить о помощи».