خرق بيانات AdaptHealth لعام 2026

الفئات الرئيسية الثلاث التي أكدتها AdaptHealth هي معلومات التعريف الشخصية، والمعلومات الصحية المحمية، وملفات كلمات المرور المخزنة المرتبطة بفوترة التأمين. ويشير كل من PII وPHI إلى تصنيف واسع؛ ولم توضح الشركة بعد أي الحقول التفصيلية كانت موجودة، مثل الأسماء أو تواريخ الميلاد أو العناوين أو التشخيصات أو الوصفات الطبية أو أرقام التأمين.

ذكرت الشركة صراحةً أنها لا تجمع أرقام الضمان الاجتماعي في النظام المتأثر، ولا تخزن معلومات الحسابات المصرفية أو بطاقات الدفع في الأنظمة المعنية. ولا تُدرج أرقام الضمان الاجتماعي SSNs أو بطاقات الائتمان أو الحسابات المصرفية أو بيانات الدفع ضمن فئات البيانات التي تعرضت للاختراق. ورغم تأكيد ارتباط ملفات كلمات المرور بفوترة التأمين، لم تكشف AdaptHealth عن تنسيق هذه الملفات أو حالة تشفيرها أو مدى حداثتها أو عدد الحسابات الممثلة فيها.

وفقًا للإفصاح المقدم إلى هيئة الأوراق المالية والبورصات الأمريكية SEC، بدأ الهجوم باستخدام الهندسة الاجتماعية لاختراق جلسة مستخدم مرتبطة بمتعاقد خارجي. ولا يثبت هذا الوصف استغلال ثغرة برمجية أو اختراق شبكة AdaptHealth بأكملها. فقد وصل الطرف غير المصرّح له إلى تطبيقات أعمال سحابية معينة، لكن الشركة لم توضح ما إذا كان الوصول الأولي قد تحقق عبر البريد الإلكتروني أو الهاتف أو صفحة تسجيل دخول مزيفة أو أسلوب آخر من أساليب الهندسة الاجتماعية.

شملت البيئة التي جرى الوصول إليها أنظمة داخلية لإدارة المرضى، ومنصات لتخزين المستندات، وبعض البوابات الخارجية للسجلات الصحية الإلكترونية. ولا تثبت هذه القائمة أن كل سجل في كل منصة قد أُخرج من الأنظمة. وقالت AdaptHealth إنها لا تزال تعمل على تحديد نطاق مجموعات البيانات المتأثرة.

أبلغ منفذ الهجوم AdaptHealth في 15 يونيو 2026 بأنه أخذ بيانات من أنظمتها. وفي 27 يونيو، خلصت الشركة إلى أن الحادث جوهري بالنظر إلى طبيعة البيانات المعرضة للخطر وحجمها المحتمل، وقدمت إفصاح Form 8-K في 2 يوليو. ولم يُكشف عن التاريخ الدقيق للوصول الأولي أو مدة الجلسة المخترقة.

يشير تقييم الأهمية الجوهرية إلى أن الحجم المحتمل للبيانات قد يكون كبيرًا، لكن الإفصاح لا يورد عددًا للأشخاص أو الملفات أو السجلات. ولم تنشر المؤسسة إجماليًا قابلًا للتحقق لعدد الأشخاص أو السجلات المتأثرة. وعدم الإفصاح عن العدد لا يعني أن الحادث لم يكن له أثر؛ بل يعني أن المصادر العامة لا توفر إجماليًا موثوقًا. وإذا نُشر لاحقًا رقم موثوق في إشعارات المرضى أو سجلات الجهات التنظيمية للرعاية الصحية، فيمكن تحديث العدد؛ أما في هذه المرحلة، فإن وصف العدد بأنه غير معروف هو التمثيل الأكثر دقة وتحفظًا.

بعد اكتشاف الهجوم، عطّلت AdaptHealth حساب المستخدم المخترق، وأعادت تعيين بيانات الاعتماد المتأثرة، وطبقت ضوابط إضافية للوصول. وقالت إن الحادث قد جرى احتواؤه، وإن فرقًا خارجية متخصصة في التحقيق الجنائي الرقمي تساعد في التحقيق المستمر، وإنها اتخذت خطوات للحد من خطر نشر البيانات التي أُخرجت من الأنظمة. وهذه هي الإجراءات المحددة التي أفصحت عنها الشركة؛ ولا تُضاف إلى السجل تغييرات تقنية غير موثقة.

حتى تاريخ تقديم الإفصاح، لم يكن الحادث قد أثّر تأثيرًا جوهريًا في عمليات AdaptHealth أو عطّل قدرتها على خدمة المرضى. ومع ذلك، قالت الشركة إنها لم تتمكن بعد من تحديد جميع الآثار المتعلقة بالاستجابة، والجوانب القانونية والتنظيمية، والإشعارات، والمرضى، والسمعة، والشؤون المالية. وقد يغطي التأمين ضد المخاطر السيبرانية بعض الخسائر، لكنه لا يلغي تبعات سرقة المعلومات على الخصوصية وأمان الحساب.

تُعد المعلومات الصحية المحمية حساسة لأنها قد تكشف عن علاقة الشخص بجهة تقدم له الرعاية الصحية أو عن سياقه الطبي. وقد تنشأ عن ملفات كلمات المرور المرتبطة بفوترة التأمين مخاطر الوصول إلى الحسابات أو الاحتيال إذا كانت محتوياتها حديثة وقابلة للاسترجاع. ولأن الحقول التفصيلية لم يُكشف عنها، ينبغي ألا يفترض القراء أن جميع المرضى فقدوا المعلومات نفسها. ويجب تقييم المخاطر استنادًا إلى البيانات المحددة الواردة في الإشعار الذي يتلقاه كل شخص لاحقًا.

ينبغي للمرضى الذين يتلقون إشعارات التحقق بصورة مستقلة من أي فواتير غير متوقعة، أو روابط لتسجيل الدخول إلى البوابات، أو طلبات لإعادة تعيين كلمات المرور أو تأكيد المعلومات الصحية تُرسل باسم AdaptHealth أو إحدى شركات التأمين. وينبغي تغيير كلمات المرور المعاد استخدامها أو المشابهة لها في الحسابات الأخرى، وتفعيل المصادقة متعددة العوامل حيثما كانت متاحة. ولا يزيل غياب أرقام الضمان الاجتماعي SSNs وبيانات بطاقات الدفع من الأنظمة المتأثرة مخاطر التصيد الاحتيالي والمخاطر على خصوصية المعلومات الطبية.

لم تنشر المؤسسة إجماليًا قابلًا للتحقق لعدد الأشخاص أو السجلات المتأثرة. وعدم الإفصاح عن العدد لا يعني أن الحادث لم يكن له أثر؛ بل يعني أن المصادر العامة لا توفر إجماليًا موثوقًا. ولا يمثل إجمالي مرضى AdaptHealth أو مبيعات معداتها أو قواعد عملاء شركائها نطاق الخرق. وتشير فئات البيانات إلى الفئات العامة التي أكد إفصاح SEC إخراجها من الأنظمة، ولا تعني أن كل حقل كان موجودًا في كل سجل.

الخلاصة المتحقق منها هي أن الهندسة الاجتماعية أدت إلى اختراق جلسة تخص متعاقدًا خارجيًا، وأتاحت سرقة معلومات التعريف الشخصية PII والمعلومات الصحية المحمية PHI وملفات كلمات المرور الخاصة بفوترة التأمين من بعض تطبيقات AdaptHealth السحابية وبوابات السجلات الصحية الإلكترونية. وقد جرى احتواء الحادث، ولم يُبلّغ عن تعطّل جوهري للخدمات، بينما لا يزال عدد المتأثرين والحقول التفصيلية قيد التحديد خلال التحقيق.