美國紐約州、新澤西州、康涅狄格州以及密歇根州四州總檢察長於2026年11月6日聯合宣佈，已與全美知名醫療聽寫轉錄外包服務商佩里約翰遜及聯合服務公司（Perry Johnson & Associates, PJ&A）正式達成重大司法和解協議；該協議旨在全面了結針對該公司2023年遭遇的網絡黑客滲透事件的跨州聯合民事執法調查，涉案數據泄露事件導致全美超過1330萬名就醫民衆的高度敏感個人健康隱私、病歷聽寫檔案以及社會安全號（SSN）遭到非法竊取，根據新達成的和解框架，佩里約翰遜公司須承擔最高達1000萬美元的附條件罰金與系統性信息安全重構支出，並承諾全面執行強制性多因素認證與端到端敏感數據加密標準，標誌着美國州級司法執法機構針對關鍵醫療健康供應鏈外包商隱私失職行爲的追責監管邁入最高懲戒階段。
佩里約翰遜醫療數據泄露和解案核心司法指標
- 聯合宣佈和解跨州總檢察長陣容：紐約州、新澤西州、康涅狄格州、密歇根州
- 涉案醫療聽寫轉錄機構名稱：佩里約翰遜及聯合服務公司（PJ&A）
- 泄露敏感信息與強制合規整改項：診斷記錄與社保號；強制實施多因素認證和留痕
佩里約翰遜數據泄露案爲何波及全美1330萬人？
作爲全美醫療轉錄與健康業務流程外包（BPO）領域的隱形服務巨頭，總部位於內華達州的佩里約翰遜公司爲包括諾斯韋爾醫療集團（Northwell Health）、紐約大學朗格尼醫學中心在內的數百家頂級醫院與診所網絡提供語音病歷錄入、醫學報告整理及賬單輔助服務。由於其深嵌在各大醫院電子病歷（EHR）系統的後端數據傳輸鏈條中，每天有數以萬計的醫生門診錄音與處方摘要實時匯入其中心服務器。
司法調查顯示，黑客利用未打補丁的遠程協議滲透進核心網絡，持續竊取數據庫快照。被盜取的文件不僅包含患者姓名、出生日期、家庭住址與社會安全號，更涵蓋極其私密的門診臨牀診斷、實驗室血液檢測結果、放射影像結論以及詳細的精神病學處方用藥記錄。在受影響的1330萬名受害者中，紐約州佔420萬人，新澤西州近54萬人，康州超10.7萬人，成爲全美最惡劣的醫療供應鏈數據災難之一。
四州聯合執法如何確立1000萬美元和解框架？
在紐約州總檢察長利蒂希婭·詹姆斯（Letitia James）與康涅狄格州總檢察長威廉·通（William Tong）的直接領導下，四州司法部門針對PJ&A在數據託管期間的嚴重安全缺陷展開了詳盡審計。調查發現，該公司未能遵循行業通行的縱深防禦準則，其核心生產服務器缺乏全盤靜態加密，員工遠程登錄未強制開啟雙因素認證（MFA），且網絡內部未部署有效的異常流量入侵檢測系統。
依據本次公佈的具有法律約束力的和解協議，PJ&A必須設立一套全新的全機構信息安全計劃，並指定專職首席信息安全官（CISO）直接向董事會彙報。協議設定了最高達1000萬美元的懲戒資金池，其中30萬美元作爲首期不可退還的法定行政罰金直接繳入州財政庫，剩餘鉅額資金則與公司未來三年內強制執行第三方滲透測試、加密系統升級以及員工反釣魚演練的達標情況嚴格掛鉤。若公司未能按期提交由獨立註冊審計機構簽署的合規達標報告，全額罰款將被立即強制執行。
醫療供應鏈服務商網絡安全監管走向何方？
網絡安全法學專家在分析本案時強調，佩里約翰遜和解案標誌着美國司法執法邏輯的重大範式轉移——傳統的監管重錘往往僅揮向直面公衆的公立醫院與保險機構，而今外包供應鏈第三方供應商已被徹底納入同等規格的法律問責範圍。
隨着現代醫療系統對人工智能語音轉錄、雲端影像歸檔以及自動化賬單處理工具的依賴度達到前所未有的高度，醫院與第三方供應商之間的數據接口已淪爲網絡犯罪分子實施勒索軟件攻擊的最薄弱軟肋。聯合執法確立了明確紅線：建立密碼學韌性防護體系，已成爲數字醫療外包服務商不可逾越的法定生存底線。
