خرق بيانات American Addiction Centers (422,424 شخصًا)

علمت الشركة بوقوع حادث أمن سيبراني نحو 26 سبتمبر، واستعانت بخبراء خارجيين، وأبلغت جهات إنفاذ القانون. وبحلول 3 أكتوبر، كان التحقيق قد خلص إلى أن جهة غير مصرّح لها أخذت بيانات معيّنة من أنظمة الشركة في الفترة من 23 إلى 26 سبتمبر.

لم تفصح American Addiction Centers عن طريقة الوصول الأولي أو عن أي ثغرة جرى استغلالها. وأعلنت مجموعة Rhysida لبرمجيات الفدية مسؤوليتها عن الحادث، لكن إشعار الشركة لم يؤكد هوية الجهة المنفذة. لذلك يُسجَّل الحادث بوصفه حالة مؤكدة من الوصول غير المصرّح به والاستحواذ على البيانات، بينما تظل نسبة الحادث إلى تلك المجموعة غير مثبتة.

ذكر الإشعار الموجّه إلى الأفراد الأسماء والعناوين وأرقام الهواتف وتواريخ الميلاد وأرقام السجلات الطبية أو غيرها من المعرّفات وأرقام الضمان الاجتماعي ومعلومات التأمين الصحي. واختلفت مجموعة البيانات المتأثرة من شخص إلى آخر.

ذكر الإشعار الأولي أن معلومات العلاج وبيانات بطاقات الدفع لم تكن مشمولة بالحادث. غير أن إشعارًا لاحقًا بالتسوية، صدر بإذن المحكمة، أدرج معلومات العلاج ضمن تعريفه للمعلومات الخاصة محل القضية. وينبغي لمتلقي الإشعارات الاعتماد على فئات المعلومات المذكورة في الإشعار الخاص بكل منهم.

أورد تقرير أولي قُدّم إلى وزارة الصحة والخدمات الإنسانية الأمريكية عددًا قدره 410,747 مريضًا. وفي إفادة لاحقة قدّمتها الشركة إلى المدعي العام لولاية مين بتاريخ 23 ديسمبر 2024، أفادت بأن عدد المتأثرين بلغ 422,424 شخصًا. ولا تشير هذه الأرقام إلى حوادث منفصلة، ولا ينبغي جمعها معًا؛ إذ يعتمد السجل الإجمالي الوارد في الإفادة اللاحقة للحادث نفسه.

قد تُسهّل أرقام الضمان الاجتماعي، عند جمعها مع تواريخ الميلاد والعناوين، سرقة الهوية أو تقديم طلبات احتيالية لفتح حسابات. ويمكن أيضًا استخدام معلومات التأمين الصحي والمعرّفات الطبية في تقديم مطالبات احتيالية، وإساءة استخدام الهوية الطبية، وتنفيذ عمليات احتيال مقنعة مصمّمة لاستهداف أشخاص بعينهم.

تشكّل المعلومات الصحية المرتبطة بعلاج الإدمان خطرًا إضافيًا وجسيمًا على الخصوصية. وينبغي عدم الرد على رسائل التهديد أو الابتزاز التي تشير إلى هذه المعلومات، والتواصل للحصول على الدعم المتعلق بالحادث فقط عبر قنوات المؤسسة التي جرى التحقق من صحتها بشكل مستقل.

قالت المؤسسة إنها احتوت الهجوم، وتعاونت مع جهات إنفاذ القانون ومتخصصين خارجيين في الأمن السيبراني، وطبّقت تدابير حماية إضافية. وعُرض على المتأثرين الحصول على مراقبة ائتمانية لدى مكتب ائتمان واحد لمدة 12 شهرًا، وتقرير ائتماني، ودرجة ائتمانية، ومساعدة استباقية في مواجهة الاحتيال.

يمكن لمتلقي الإشعارات تفعيل خدمة المراقبة المجانية باتباع التعليمات التي جرى التحقق من صحتها في رسائلهم، ومراجعة التقارير الائتمانية، والنظر في تجميد الائتمان أو تفعيل تنبيه بشأن الاحتيال. وينبغي إبلاغ المؤسسة المعنية مباشرة بأي نشاط مالي لا يتعرفون عليه.

ينبغي مراجعة كشوف تفاصيل التأمين الصحي وبوابات المرضى والفواتير الطبية بحثًا عن خدمات لم يتلقوها. كما ينبغي تجنّب الروابط غير المتوقعة التي تدّعي أنها واردة من American Addiction Centers أو أحد مراكز العلاج التابعة لها أو مقدّم خدمة المراقبة، إلى أن يتم التحقق من هوية المرسل عبر قناة اتصال مستقلة.