3,803,750 человек попали под утечку у Unlimited Technology Systems, американского поставщика ПО для финансовых и биллинговых процессов в специализированной медицине. Эта утечка данных пациентов важна не только для рынка США: один подрядчик, о котором сами пациенты обычно даже не знают, оказался точкой доступа к данным тысяч клиник. Для русскоязычной IT-аудитории это знакомый сюжет про цепочку подрядчиков, только с куда более неприятной плотностью чувствительной информации.
По данным BleepingComputer, компания обнаружила несанкционированную активность в своем коммерческом дата-центре 19 октября 2025 года и подключила внешнюю форензик-команду. Расследование показало, что злоумышленник имел доступ к определенным файлам в период с 5 по 10 октября 2025 года и, вероятно, успел скопировать персональные данные пациентов тех медорганизаций, которые обслуживает Unlimited. Образцы уведомлений для регуляторов компания подала только 1 июля 2026 года, не называя масштаб инцидента. Точная цифра всплыла позже на портале уведомлений американского Минздрава и соцслужб: там указано, что был скомпрометирован сервер компании, а под удар попали 3,803,750 человек.
Самое неприятное в этой истории не только число пострадавших, а состав данных. Речь идет не о банальном наборе из имени, почты и телефона. В потенциально скомпрометированном массиве были полные имена, номера Social Security, даты рождения, почтовые и электронные адреса, телефоны, демографические сведения, сканы водительских прав и других удостоверений, страховые карты, анкеты первичного приема, номера медицинских полисов, данные по страховым требованиям и выплатам, номера медкарт, даты оказания услуг и сведения о диагнозах. Иначе говоря, утечка данных пациентов здесь выглядит как почти полный профиль человека для медицинского, финансового и вполне приземленного мошенничества. При этом ни одна ransomware-группа пока публично не взяла на себя ответственность, а самих атакующих компания не идентифицировала.
Масштаб объясняется профилем самого поставщика. Unlimited Technology Systems занимается финансовыми и биллинговыми системами, а также технологиями для управления расчетами и выручкой специализированных медпровайдеров. На сайте компании говорится, что она обслуживает 4,500 клиник и 6,500 специализированных медицинских провайдеров по всей территории США, а через ее системы ежегодно проходят более 70 млрд долларов чистых медицинских начислений. Для бизнеса это классическая история про концентратор данных: продукт может казаться узкоспециализированным и далеким от громких потребительских платформ, но фактически он сидит на пересечении платежей, документов, страховки и повседневной операционки клиник. Плохая новость для всех, кто до сих пор считает бэкофисное ПО второстепенной целью: иногда именно там лежит самый плотный слой ценных данных.
Есть и еще один важный слой этой новости: пострадавшие пациенты чаще всего вообще не состоят в прямых отношениях с Unlimited. Они приходили в клинику, взаимодействовали с врачом и страховкой, а письмо об инциденте получили от компании, название которой могли впервые увидеть в день уведомления. Из-за этого утечка данных пациентов превращается не только в security-проблему, но и в проблему доверия к цепочке подрядчиков. Unlimited сообщила, что уведомила правоохранителей и предложила получателям писем сервисы мониторинга личности через Kroll. Это уже стандартный постинцидентный набор, но он плохо отвечает на главный вопрос пользователей: почему столько чувствительных документов вообще оказались доступны так, что их можно было копировать несколько дней.
Для разработчиков и руководителей IT-команд здесь есть неприятный, но полезный вывод. Компрометация длилась пять дней, а массовые уведомления ушли спустя многие месяцы после обнаружения. Даже если сделать скидку на форензику, юристов, согласование списков затронутых записей и требования регуляторов, временной лаг показывает, насколько тяжело индустрия работает с точным учетом чувствительных данных после взлома. Если у вас B2B-продукт, который хранит документы клиентов, страховые данные, KYC-артефакты или медзаписи, вопрос уже не в том, есть ли у вас шифрование и EDR. Вопрос в том, знаете ли вы поименно и по полям, что лежит в каждом файловом хранилище, кто к нему имеет доступ и как быстро вы сможете собрать внятную карту последствий без многомесячной паузы.
Инцидент с Unlimited Technology Systems хорошо показывает и более широкий рыночный тренд: атаки все чаще бьют не в самую известную компанию в цепочке, а в тихого инфраструктурного посредника, через которого проходит слишком много чужих процессов. Для медтеха это особенно болезненно, потому что одна запись здесь почти всегда ценнее обычной учетной записи в ритейле: в ней больше идентификаторов, документов и контекста для злоупотреблений. Но этот сценарий давно не ограничивается медициной. Любой SaaS, который автоматизирует документооборот, биллинг, HR, комплаенс или платежные процессы, может внезапно обнаружить, что он не сервис поддержки бизнеса, а склад высоколиквидных данных с удобной точкой входа в чужие риски.
Главный вопрос после этой истории не в том, какая группа стояла за атакой: ответа на него пока нет. Важнее другое: сколько еще отраслевых платформ с низкой публичной заметностью и высокой концентрацией чувствительных данных узнают свой настоящий масштаб только тогда, когда счет пострадавших уже идет на миллионы.