2023年3月，一名宾夕法尼亚州的女性接到一名医护高管的电话，让她难以置信：黑客在她接受放疗时获取了她裸体的照片，并将其发布在互联网的黑暗角落。Lehigh Valley Health Network拒绝支付超过500万美元的赎金来追回照片和其他被盗的患者信息，但无法避免因数据泄露造成的财务损失。
这名身份不明的女性，50多岁，化名为Jane Doe，她成为一起集体诉讼的主要原告，指控Lehigh未能保护高度敏感的患者信息，包括数百名癌症患者的裸照。9月12日，一家律师事务所宣布，Lehigh已同意支付6500万美元来和解此案。随着黑客越来越频繁地攻击美国的医疗机构，这一事件揭示了网络罪犯如何利用独特的敏感数据，造成毁灭性的个人和财务后果。
根据《华盛顿邮报》的审查，每天几乎都会发生数据泄露事件，泄露数百名美国人的健康信息。这些案例由美国卫生与公共服务部自2022年以来编制。联邦调查局的互联网犯罪投诉中心去年收到的针对医疗行业目标的勒索软件攻击报告数量超过了其跟踪的其他16个行业。Lehigh Valley的案件也凸显了医疗机构面临的法律困境，这些机构日益成为黑客的目标，不仅面临网络罪犯的威胁，还面临受到数据泄露影响的患者提起的诉讼。
特别是那些拥有因临床原因而拍摄的患者敏感照片的健康系统。根据美国放射肿瘤学会的说法，对患者进行放射治疗通常需要使用X线和照片图像来制定治疗计划。“暴露的数据类型，简直是游戏规则的改变者，”First Health Advisory的首席执行官Carter Groome说。“这对那些信任该组织的人来说，是一种更为具体、直接的痛苦，”他说。
根据律师事务所BakerHostetler的数据，披露数据泄露事件越来越常导致诉讼。该事务所发现，去年披露的超过58起事件引发了一起或多起诉讼，比前一年增加了约38%。BakerHostetler的统计数据不限于医疗保健领域。一些专家表示，医疗机构在加强网络防御方面取得了显著进展，但由于其复杂性，它们仍然容易受到攻击——计算机网络连接了医生、保险公司、药房和各种设备与服务供应商。
Lehigh Valley Health的一位发言人表示，这次网络攻击仅限于支持宾夕法尼亚州东北部Lackawanna县的一个医生诊所的网络，并确认未支付赎金。“患者、医生和员工的隐私是我们的首要任务之一，我们将继续加强我们的防御，以防止未来的事件发生，”他说。目前尚不清楚在黑客攻击中暴露的患者裸照有多普遍。
去年，一名贝弗利山的整形外科医生披露了一起网络攻击，其中包括“与我们诊所提供的服务有关的图像”，引发了诉讼。同一时间，另一家整形外科诊所也披露了一次黑客攻击。Marsh McLennan的网络实践负责人Meredith Schnur表示，她的团队发现黑客窃取了患者照片，但不一定是裸体照片。Lehigh Valley的案例是“有点异常”，她说。“这是一个相当大的和解金额。”
黑客越来越多地攻击供应链中的关键环节，例如UnitedHealth Group的Change Healthcare子公司，该公司从药房和医疗服务提供者那里接收索赔并将其发送给保险公司，还促成支付。Change在2月份的黑客攻击瘫痪了全美的诊所，并曝光了“美国大量人口”的健康信息，该公司表示。UnitedHealth在今年上半年已经花费了14亿美元用于应对这一攻击，该公司上月在一份证券文件中表示。
被认为是Change黑客攻击幕后黑手的勒索软件团伙ALPHV，也被指控参与了对Lehigh Valley的黑客攻击。联邦调查局不支持在这种攻击中支付赎金，指出没有保证黑客会归还数据，支付赎金可能会鼓励更多的攻击。但UnitedHealth的首席执行官表示，他指示公司支付2200万美元的赎金，并告诉国会这是“我做过的最艰难的决定之一。”
位于宾夕法尼亚州阿伦敦的Lehigh Valley Health没有支付赎金。在2023年2月发现数据泄露后，健康系统的一位高管打电话通知患者黑客已将他们的个人信息——包括裸照——发布到暗网上，暗网是指无法通过像谷歌这样的常规搜索引擎访问的隐藏网站。集体诉讼回顾了这位高管如何向这位50多岁的女性道歉，并“带着笑声”提供了两年的信用监控服务。
这名癌症患者并不知道健康系统在其计算机网络上存储了她的裸照，据诉讼称，她当时处于“完全难以置信”的状态。“这些照片真的很难看，”代表原告的律师Patrick Howard说。他的法律团队聘请了一名网络安全专家，专家找到了黑客发布在暗网上的图片，使他们能够“确定每个人的信息实际上是在网上的”。拟议的和解协议仍需法官批准，将为近13.5万名受数据泄露影响的患者和健康系统员工提供赔偿。
但根据协议，6500万美元中的80%将为那些裸照被发布到暗网的受害者提供赔偿。Howard表示，这包括约600名男性和女性，每人将获得高达75,000美元的赔偿。作为主要原告，Jane Doe可能会获得125,000美元。