خرق بيانات Alabama Ophthalmology Associates لعام 2025

يوضح إشعار الحادث الرسمي الصادر عن Alabama Ophthalmology Associates الفترة التي وقع فيها الوصول، وتاريخ اكتشاف الحادث، وفئات البيانات التي جرى الوصول إليها، وإجراءات الإخطار. وتقول المؤسسة إنها رصدت نشاطًا غير معتاد على الشبكة في 30 يناير 2025 وبدأت تحقيقًا بمساعدة متخصصين مستقلين في الأدلة الجنائية الرقمية.

يُدرج سجل HHS OCR المؤسسة نفسها باعتبارها مقدّم خدمات رعاية صحية، ويذكر أن إجمالي عدد المتأثرين بلغ 131,576 شخصًا، ويصنّف الواقعة على أنها اختراق/حادثة في تقنية المعلومات شملت حاسوبًا مكتبيًا وخادم شبكة. ولا يعني هذا الإجمالي أن كل حقل من حقول البيانات كان موجودًا لكل شخص.

بعد رصد نشاط غير معتاد على الشبكة في 30 يناير، اتخذت AOA خطوات لتأمين شبكتها وبدأت مراجعة طبيعة الواقعة ونطاقها. وخلص التحقيق إلى أن جهة مجهولة وصلت إلى بعض المعلومات وحصلت عليها دون تصريح بين 22 يناير و30 يناير.

أجرت المؤسسة مراجعة شاملة لتحديد المعلومات والأشخاص المتأثرين. وانتهى هذا العمل في 19 مارس 2025، وبدأ إرسال الإشعارات في 7 أبريل 2025 إلى الأشخاص الذين أمكن تحديد عناوينهم.

يذكر الإشعار الرسمي أن الحقول اختلفت من شخص إلى آخر، وربما شملت الأسماء وتواريخ الميلاد وأرقام الضمان الاجتماعي ومعلومات التأمين الصحي ومعلومات العلاج وأرقام السجلات الطبية ومعلومات التاريخ الطبي.

لا ينبغي افتراض أن قائمة الفئات كاملة تنطبق على جميع الأشخاص البالغ عددهم 131,576. ولم تُدرج عناوين البريد الإلكتروني أو كلمات المرور أو أرقام رخص القيادة أو الحسابات المصرفية أو بطاقات الدفع، لأن الإشعار الرسمي لا يؤكد شمول هذه الحقول.

يمكن الجمع بين الاسم وتاريخ الميلاد ورقم الضمان الاجتماعي لتسهيل انتحال الهوية أو فتح حسابات احتيالية أو تقديم طلبات ائتمان أو الاحتيال الضريبي. وقد تجعل هذه التفاصيل أيضًا طلبات التحقق من الهوية غير المتوقعة تبدو موثوقة.

يمكن استخدام معلومات التأمين الصحي والعلاج وأرقام السجلات الطبية والتاريخ الطبي في فواتير رعاية صحية زائفة أو احتيال تأميني أو رسائل تنتحل صفة مقدّم خدمات صحية. ولا تُثبت معرفة أحد التفاصيل الطبية الحقيقية أن المرسل جهة مشروعة.

تقول AOA إنها أمّنت شبكتها، وعملت مع متخصصين مستقلين في الأدلة الجنائية الرقمية والاستجابة للحوادث، وراجعت البيانات المتأثرة لتحديد نطاقها. كما أنشأت مركز اتصال برقم مجاني للإجابة عن الأسئلة.

لا يحدد الإشعار الرسمي الجهة المسؤولة أو طريقة الوصول الأولي أو الثغرة التقنية، ولا يصف الواقعة بأنها هجوم ببرمجيات الفدية. لذلك، لم تُضف إلى هذا السجل ادعاءات غير متحقق منها بشأن الجهة المسؤولة أو أسلوب الهجوم.

ينبغي لمتلقي الإشعارات مراجعة تقاريرهم الائتمانية ونشاط حساباتهم المالية بانتظام بحثًا عن حسابات أو معاملات لا يعرفونها، والنظر في تجميد ائتماني مجاني أو وضع تنبيه احتيال عند الاقتضاء. وينبغي الإبلاغ عن أي نشاط مشبوه إلى المؤسسة المالية المعنية والسلطات المختصة.

ينبغي التحقق مباشرةً مع مقدّم الخدمات الصحية أو شركة التأمين من أي بنود غير متوقعة في السجلات الطبية أو كشوف بيان المنافع التأمينية أو مطالبات التأمين. ولا تشارك رقم الضمان الاجتماعي أو كلمة المرور أو رمز التحقق استجابةً لمكالمة أو رسالة غير متوقعة.