美国纽约州、新泽西州、康涅狄格州以及密歇根州四州总检察长于2026年11月6日联合宣布，已与全美知名医疗听写转录外包服务商佩里约翰逊及联合服务公司（Perry Johnson & Associates, PJ&A）正式达成重大司法和解协议；该协议旨在全面了结针对该公司2023年遭遇的网络黑客渗透事件的跨州联合民事执法调查，涉案数据泄露事件导致全美超过1330万名就医民众的高度敏感个人健康隐私、病历听写档案以及社会安全号（SSN）遭到非法窃取，根据新达成的和解框架，佩里约翰逊公司须承担最高达1000万美元的附条件罚金与系统性信息安全重构支出，并承诺全面执行强制性多因素认证与端到端敏感数据加密标准，标志着美国州级司法执法机构针对关键医疗健康供应链外包商隐私失职行为的追责监管迈入最高惩戒阶段。
佩里约翰逊医疗数据泄露和解案核心司法指标
- 联合宣布和解跨州总检察长阵容：纽约州、新泽西州、康涅狄格州、密歇根州
- 涉案医疗听写转录机构名称：佩里约翰逊及联合服务公司（PJ&A）
- 泄露敏感信息与强制合规整改项：诊断记录与社保号；强制实施多因素认证和留痕
佩里约翰逊数据泄露案为何波及全美1330万人？
作为全美医疗转录与健康业务流程外包（BPO）领域的隐形服务巨头，总部位于内华达州的佩里约翰逊公司为包括诺斯韦尔医疗集团（Northwell Health）、纽约大学朗格尼医学中心在内的数百家顶级医院与诊所网络提供语音病历录入、医学报告整理及账单辅助服务。由于其深嵌在各大医院电子病历（EHR）系统的后端数据传输链条中，每天有数以万计的医生门诊录音与处方摘要实时汇入其中心服务器。
司法调查显示，黑客利用未打补丁的远程协议渗透进核心网络，持续窃取数据库快照。被盗取的文件不仅包含患者姓名、出生日期、家庭住址与社会安全号，更涵盖极其私密的门诊临床诊断、实验室血液检测结果、放射影像结论以及详细的精神病学处方用药记录。在受影响的1330万名受害者中，纽约州占420万人，新泽西州近54万人，康州超10.7万人，成为全美最恶劣的医疗供应链数据灾难之一。
四州联合执法如何确立1000万美元和解框架？
在纽约州总检察长利蒂希娅·詹姆斯（Letitia James）与康涅狄格州总检察长威廉·通（William Tong）的直接领导下，四州司法部门针对PJ&A在数据托管期间的严重安全缺陷展开了详尽审计。调查发现，该公司未能遵循行业通行的纵深防御准则，其核心生产服务器缺乏全盘静态加密，员工远程登录未强制开启双因素认证（MFA），且网络内部未部署有效的异常流量入侵检测系统。
依据本次公布的具有法律约束力的和解协议，PJ&A必须设立一套全新的全机构信息安全计划，并指定专职首席信息安全官（CISO）直接向董事会汇报。协议设定了最高达1000万美元的惩戒资金池，其中30万美元作为首期不可退还的法定行政罚金直接缴入州财政库，剩余巨额资金则与公司未来三年内强制执行第三方渗透测试、加密系统升级以及员工反钓鱼演练的达标情况严格挂钩。若公司未能按期提交由独立注册审计机构签署的合规达标报告，全额罚款将被立即强制执行。
医疗供应链服务商网络安全监管走向何方？
网络安全法学专家在分析本案时强调，佩里约翰逊和解案标志着美国司法执法逻辑的重大范式转移——传统的监管重锤往往仅挥向直面公众的公立医院与保险机构，而今外包供应链第三方供应商已被彻底纳入同等规格的法律问责范围。
随着现代医疗系统对人工智能语音转录、云端影像归档以及自动化账单处理工具的依赖度达到前所未有的高度，医院与第三方供应商之间的数据接口已沦为网络犯罪分子实施勒索软件攻击的最薄弱软肋。联合执法确立了明确红线：建立密码学韧性防护体系，已成为数字医疗外包服务商不可逾越的法定生存底线。
