خرق بيانات Ascension لدى شريك في 2024 (437 ألف متضرر)

يذكر إشعار Ascension المقدّم إلى الجهات التنظيمية أن معلومات المرضى كُشفت عن غير قصد لشريك أعمال سابق، وأنها سُرقت على الأرجح بسبب ثغرة في برنامج تابع لجهة خارجية كان يستخدمه ذلك الشريك. وخلص التحقيق إلى هذه النتيجة في 21 يناير 2025.

يربط سجل HHS OCR بين Ascension Health وإجمالي عدد المتضررين البالغ 437,329 شخصًا وتاريخ الإبلاغ في 28 أبريل 2025 ضمن واقعة واحدة. وتؤيد تقارير مستقلة متخصصة في أمن قطاع الرعاية الصحية التسلسل الزمني وحقول البيانات المتأثرة وحقيقة أن أنظمة Ascension نفسها لم تتأثر.

تبيّن لـAscension أنها كشفت عن غير قصد بعض معلومات المرضى لشريك الأعمال السابق. واستغل شخص غير مخوّل ثغرة في برنامج تابع لجهة خارجية كان يستخدمه الشريك، وحصل على البيانات على الأرجح.

لا يحدد الإشعار العام هوية الشريك السابق، ولا يسمّي المنتج الذي احتوى على الثغرة، ولا يذكر متى بدأ الوصول غير المصرّح به، ولا يحدد الجهة المسؤولة. وتؤكد Ascension تحديدًا أن شبكتها وأنظمتها لم تُخترق في هذا الحادث.

بحسب الشخص المعني، ربما شملت المعلومات الأسماء والعناوين وأرقام الهواتف وعناوين البريد الإلكتروني وتواريخ الميلاد والعرق والجنس وأرقام الضمان الاجتماعي. ولم تكن فئات المعلومات التي كُشفت تنطبق بالضرورة على كل شخص متضرر.

ربما شملت البيانات السريرية أماكن تقديم الخدمات وأسماء الأطباء وتواريخ الدخول والخروج ورموز التشخيص والفوترة وأرقام السجلات الطبية وأسماء شركات التأمين. ولا تُدرج هنا كلمات المرور أو بطاقات الدفع أو معلومات الحسابات المصرفية، لأن الإشعار الرسمي لا يذكرها.

يمكن أن يزيد الجمع بين رقم الضمان الاجتماعي ومعلومات الاتصال والميلاد من مخاطر سرقة الهوية وطلبات فتح الحسابات الاحتيالية وعمليات الاحتيال الموجّهة. ولأن كثيرًا من هذه التفاصيل لا يتغير، فقد يكون من المناسب الاستمرار في المراقبة لفترة أطول.

قد يصوغ شخص يعرف معلومات عن زيارة فعلية لمستشفى أو طبيب أو تشخيص أو تفاصيل تأمين رسالة مقنعة يدّعي فيها أنه يمثل Ascension أو عيادة أو شركة تأمين. ولا تثبت دقة التفاصيل الطبية أن المرسل مخوّل بذلك.

بعد علمها بالحادث، فتحت Ascension تحقيقًا، وراجعت إجراءات مشاركة المعلومات لديها، وقالت إنها تعمل على تطبيق تدابير حماية إضافية. وأُرسلت إشعارات مكتوبة إلى الأفراد المتضررين.

عرضت المؤسسة على متلقي الإشعارات المؤهلين خدمات مراقبة الائتمان والاستشارات بشأن الاحتيال ومعالجة آثار سرقة الهوية لمدة عامين. ولا يذكر الإشعار العام أنه جرى رصد إساءة استخدام مرتبطة بالحادث بصورة قاطعة.

ينبغي لمتلقي الإشعارات مراجعة تقارير الائتمان والاستعلامات المرتبطة بفتح حسابات جديدة وكشوف توضيح مزايا التأمين الصحي والفواتير الطبية بانتظام، بحثًا عن خدمات أو أنشطة لا يتعرفون عليها. وينبغي إبلاغ الجهات المعنية سريعًا عن أي سجلات مشبوهة.

لا تقدموا رقم الضمان الاجتماعي أو كلمة مرور أو بيانات دفع أو رمز تحقق استجابةً لرسالة غير متوقعة تدّعي أنها من Ascension أو طبيب أو شركة تأمين. تحقّقوا من الطلب عبر قناة رسمية تصلون إليها بشكل مستقل، لا عبر رابط أو رقم وارد في الرسالة.