前情回顾·网络安全事故和解赔偿
安全内参9月4日消息，国际肾脏透析巨头DaVita近日达成了一起数据泄露案件的和解。该公司在美国等15个国家运营着3000多家肾脏透析中心。
DaVita在2025年遭遇勒索软件攻击，大量敏感患者数据被窃取。部分受影响患者后来提起诉讼，称此次数据泄露使他们面临身份盗窃和欺诈风险。经过长时间谈判，双方达成了一项总额1500万美元（约合人民币1亿元）的和解方案，以结束相关诉讼。
该公司此前财报披露，2025年营收超过136亿美元，此次网络安全事件在该年度造成了2500万美元（约合人民币1.68亿元）的相关费用。
近270万患者数据泄露，
1.5TB被盗数据完全公开
2025年4月12日，Interlock勒索软件组织入侵DaVita网络，窃取数据并加密文件，导致公司IT系统和业务运营受到干扰。
取证调查显示，此次事件导致2689826人的受保护电子健康信息遭到泄露，包括姓名、联系方式、社会安全号码、医疗保险信息、临床信息和税务信息等。
DaVita向受影响患者发出的数据泄露通知中显示，部分临床信息也可能遭到泄露，包括患者健康状况、治疗信息以及透析实验室检测结果。对于部分患者，受影响的数据还包括税务识别号码，以及可能包含向DaVita开具的支票影像。
Interlock声称窃取了超过20 TB数据。由于DaVita拒绝支付赎金，该组织在其数据泄露网站上公开了约1.5 TB被盗数据。
长达一年多的集体诉讼，
最终达成和解
数据泄露事件发生后，受害者们陆续提起了多起集体诉讼，指控DaVita未采取合理、适当的网络安全措施，导致此次事件发生，以及该公司未能根据此次勒索软件攻击所涉及信息的性质和规模，实施并持续维护合理的安全程序和安全措施，因此构成过失。
由于多起诉讼诉求存在重叠，这些案件随后被合并审理，由美国科罗拉多州联邦地区法院审理。
诉讼涉及过失、默示合同违约、不当得利、违反信托义务、侵犯隐私以及违反州消费者保护法等多项指控。原告称，由于个人信息和健康信息遭窃，并被发布到暗网上，他们目前以及未来一段时间内将持续面临欺诈和身份盗窃风险。
DaVita否认了诉讼中的相关指控，包括过失、过错及法律责任等主张。
经过协商，各方最终达成和解方案，以解决相关诉讼。根据方案，DaVita无需承认任何法律责任或不当行为。
DaVita赔偿1亿元，
该公司此前还有类似赔偿
1500万美元和解金将用于支付律师费及相关开支、和解管理费用，以及向5名集体诉讼代表支付服务奖励。此外，其中1000万美元将作为非返还性和解基金，用于赔偿集体成员。
集体成员可以就此次数据泄露造成的实际自付损失提出索赔，前提是损失有凭证且尚未获得补偿。每人最高可获2500美元赔偿。所有集体成员，包括提出损失赔偿申请的人员，都可以申请按比例分配的现金赔偿。最终金额将取决于收到的有效索赔数量。
此次集体诉讼涉及约230万名个人。如果所有人都提出索赔，每名成员最终获得的现金赔偿约为4.17美元。不过，根据预计的索赔响应率，实际现金赔偿预计约为每人50美元。
此次因Interlock攻击引发的和解，是DaVita过去两年内达成的第二起涉及数据隐私的百万美元级集体诉讼和解。
2024年，DaVita同意支付380万美元，就美国佛罗里达州法院审理的一起数据隐私集体诉讼达成和解。该案涉及DaVita在其网站上使用第三方网络跟踪和分析工具。诉讼称，这些工具将患者的网络使用数据披露给包括Meta和谷歌在内的第三方。
参考资料：https://www.hipaajournal.com/davita-data-breach-settlement/、https://www.bankinfosecurity.com/dialysis-chain-to-pay-15m-settlement-in-interlock-attack-a-32686
声明：本文来自安全内参，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
