Почему медицинские клиники остаются уязвимыми для масштабных утечек данных

Сумма по европейским меркам скромная, но сам инцидент укладывается в привычную картину: медицина — хронически дырявая отрасль, где защита данных пациентов финансируется по остаточному принципу.

Что известно о штрафе

Подробностей в открытых публикациях мало — источники ограничиваются заголовками. По имеющимся данным, утечка затронула 727 тыс. человек, штраф составил 500 тыс. евро. Какой именно регулятор выписал санкцию, какие категории данных ушли — только контакты или полные медкарты с номерами страховок — в доступных материалах не уточняется. Классический сценарий для медицинского сектора, где базовые меры вроде сегментации сети, ротации ключей и аудита активных доступов внедряются строго после того, как данные уже утекли.

Тот же день — тот же диагноз у Ledger

Практически одновременно стало известно о коллективном иске к Ledger SAS — производителю аппаратных криптокошельков — на $500 млн в суде Южного округа Нью-Йорка. По данным истцов, злоумышленники в декабре 2023 года получили доступ через скомпрометированный аккаунт бывшего сотрудника компании и внедрили вредоносный код в библиотеку Ledger Connect Kit, используемую для подключения кошельков к сайтам и приложениям. Один из истцов, Дуглас Ким, утверждает, что после обращения мошенников под видом представителей Ledger его направили на поддельный сайт и под предлогом «сброса устройства» выманили seed-фразу — с его счёта похитили криптоактивы на $1,95 млн.

Контекст: это не первый раз

У Ledger уже была утечка 2020 года — тогда раскрылись имена, адреса и телефоны свыше 270 тыс. клиентов, позже всплывшие на теневых площадках. В апреле 2025 года клиентам рассылали фальшивые бумажные письма от имени Ledger с QR-кодами на фишинговые сайты. В феврале — аналогичная рассылка с призывом «восстановить доступ к кошельку». И каждый раз один и тот же сценарий: компрометация учётки, отсутствие ротации доступа, социальная инженерия поверх уже утекших данных.

Что отслеживать

• Мотивировочную часть решения по клинике: какой именно вектор вменяется — открытый бакет, недонастроенный API, скомпрометированный аккаунт сотрудника.
• Категории утёкших записей — имена, диагнозы, страховки — от этого зависит реальный ущерб для пациентов.
• Ход дела Ledger: если суд признает претензии обоснованными, это станет прецедентом по ответственности разработчика инфраструктуры за пост-инцидентный фишинг по утёкшим данным.

Два инцидента в один день — не совпадение. Это системный паттерн: компании продолжают спотыкаться о неотозванные учётки бывших сотрудников, отсутствие мониторинга аномалий и нежелание уведомлять клиентов вовремя. Штраф в 500 тыс. евро и иск на полмиллиарда долларов — разная цена за одну и ту же ошибку.