Автор:

Андрей Головин

Ведущий аналитик «СёрчИнформ»

Опубликовано 28.09.2026

Обновлено 28.09.2026

Утечки данных в сфере здравоохранения остаются серьезной проблемой. Медицинские организации хранят огромные массивы чувствительной информации: данные пациентов, диагнозы, результаты анализов, сведения о лечении и пр. Именно поэтому больницы и клиники становятся привлекательной мишенью для мошенников. В 2025 году почти четыре из десяти российских медорганизаций столкнулись с утечками. О том, какие данные утекают чаще всего, кто на них зарабатывает и почему оборотные штрафы не решают проблему целиком – читайте в материале.

Утечек стало больше?

По данным исследования «СёрчИнформ», в 2025 году с утечками информации по вине сотрудников столкнулись 38% медицинских организаций. Годом ранее таких было 30%, в 2023-м – 72%.

Резкое снижение в 2024 году объяснимо. Организации готовились к закону об «оборотных штрафах». Это стимулировало компании принимать ИБ-меры, а сотрудников ответственнее относиться к информационной безопасности. Но эффект оказался недолгим: показатель снова растет.

В 84% случаев медики нарушают правила неумышленно. Типичные сценарии – врач отправляет выписку пациенту с личного телефона, регистратор пересылает результаты анализов не тому адресату, медсестра фотографирует назначения, чтобы свериться с ними позже. Злого умысла нет, но данные уже за периметром организации.

Чаще всего утекают персональные данные – их пытались вынести в 73% организаций, столкнувшихся с инцидентами. Реже – внутренние регламенты и служебная переписка (37%) и финансовая информация (10%).

Андрей Головин

Ведущий аналитик «СёрчИнформ»

Главный канал утечек данных – мессенджеры: через них уходили данные в 62% организаций. Далее идут электронная почта (41%), флешки и другие устройства хранения (29%), фотографии экрана на смартфон (23%) и социальные сети (21%).

Как утекают данные из больниц

Сотрудники, которые сливают данные, представляют угрозу для компаний по всему миру. В отличие от хакера, такой нарушитель уже внутри. Он может изучить инфраструктуру, понять, какие средства защиты используются, и передать эту информацию вовне. Может воспользоваться легитимными доступами или выгрузить данные с компьютера коллеги.

В медицине риск усиливает масштаб доступа. С медицинской информационной системой работают врачи, средний медперсонал, регистратура, бригады скорой помощи. Каждая учетная запись – потенциальная точка утечки.

Андрей Головин

Ведущий аналитик «СёрчИнформ»

К примеру, сведения о состоянии здоровья являются самой ценной информацией. Так как это одновременно и персональные данные, и врачебная тайна. Поэтому спрос на такие данные устойчивый. Судебная практика показывает самый массовый сценарий: сотрудники медорганизаций за деньги сообщают ритуальным агентствам о смерти пациентов и передают контакты родственников. Агенты приезжают к семье раньше конкурентов.

Вот несколько дел последних двух лет.

Владимирская область. Заведующий паллиативным отделением Вязниковской районной больницы получал взятки от предпринимательницы из ритуального бизнеса за сведения о смерти пациентов и контакты их родственников. В сентябре 2025 года суд оштрафовал врача на 500 тыс. рублей, предпринимательницу – на 400 тыс. В декабре по той же схеме осудили фельдшера скорой помощи, который имел доступ к базе вызовов и систематически передавал данные об умерших. Итог – 10 эпизодов по ч. 2 ст. 137 УК РФ и штраф 150 тыс. рублей.

Приморье. Бывший врач станции скорой помощи Владивостока продавала ритуальной компании сведения о погибших – по 4 тыс. рублей за каждого. Компания заключила с родственниками как минимум 58 договоров. Суд назначил врачу четыре года лишения свободы по ч. 5 ст. 290 УК РФ (получение взятки в крупном размере).

Пермь. Медсестра скорой помощи за деньги передавала ритуальному агентству данные об умерших и их родственниках. Суд признал ее виновной по ч. 2 ст. 137 УК РФ, назначил штраф и обязал компенсировать моральный вред. В январе 2026 года суд взыскал компенсацию и с самого агента – по 25 тыс. рублей в пользу каждого из трех заявителей.

Также среди мошенников востребованы данные – ФИО, дата рождения, СНИЛС, паспортные данные. Они есть в любой организации, но в медицине к ним почти всегда прилагается диагноз.

Данные о здоровье позволяют мошенникам персонализировать атаку. Родственникам звонят и сообщают, что у человека обострилась болезнь и срочно нужно что-то сделать – оплатить лечение, купить лекарство, перевести деньги. Когда звонящий называет реальный диагноз, жертва перестает сомневаться.

Чем грозит медучреждению утечка данных

Здравоохранение – одна из самых зарегулированных отраслей. Медорганизации обрабатывают огромные массивы персональных данных, многие из них – субъекты КИИ. С 30 мая 2025 года за утечку персональных данных организации грозит штраф до 15 млн рублей, за повторную утечку – оборотный штраф до 3% выручки, но не более 500 млн рублей. С декабря 2024 года действует ст. 272.1 УК РФ: за незаконное использование и передачу компьютерной информации, содержащей персональные данные – штраф до 700 тыс. рублей или лишение свободы. С 1 марта 2026 года ИТ-системы бюджетных медучреждений подпадают под новый приказ ФСТЭК №117.

Ужесточение уже подстегнуло спрос на средства защиты данных (DLP- и DCAP-системы). Отечественные системы защиты от утечек информации (DLP) используют 21% медорганизаций. В 2025 году 23% организаций увеличили бюджеты на ИБ. Больше трети тратят на средства защиты до 500 тыс. рублей в год.

Андрей Головин

Ведущий аналитик «СёрчИнформ»

Субъектам КИИ с 2025 года запрещено использовать импортные СЗИ, а переход на российское системное и прикладное ПО часто требует внедрения новых или обновления имеющихся ИБ-средств. Также 38% организаций увеличили бюджеты на ИБ из-за роста цен на ПО и оборудование.

С чего начать защиту 

Универсального рецепта нет. Набор мер зависит от понимания задачи руководством, целей ИБ, бюджета, численности персонала и актуальных угроз. Но базовый минимум для медорганизации можно сформулировать так:

1. Разграничить доступ к файлам по содержимому. Документ с диагнозом должны открывать только те сотрудники, которым он нужен для работы.
2. Ограничить пересылку по неспециализированным каналам. В первую очередь – в мессенджерах, через которые уходит большая часть данных. Ограничения должны быть гибкими, чтобы не мешать рабочей переписке с пациентами.
3. Собирать доказательную базу. В случае инцидента без зафиксированных доказательств нарушитель отделывается выговором, а дело не дойдет до суда.
4. Обучать персонал. Если 84% нарушений неумышленные, регулярные занятия по цифровой гигиене для врачей, медсестер и регистраторов снижают риск утечки информации. 

Утечка медицинских данных бьет и по пациентам, и по медорганизациям. Первые рискуют стать жертвой мошенников, вторые – получить многомиллионный штраф и потерять доверие пациентов. Поэтому комплексное сочетание современных технологических решений, грамотно выстроенных организационных процессов и соблюдение требований законодательства позволяют существенно снизить риски.