خرق بيانات Bradford Health Services لعام 2023

المصدر الأساسي هو صفحة إشعار حادث أمن البيانات التي نشرتها Bradford Health Services على نطاقها الخاص في 30 مايو 2025. وتؤكد الجهة اكتشاف الحادث في 8 ديسمبر، وإجراء تحقيق بمشاركة متخصصين خارجيين في الأمن السيبراني، واحتمال الوصول إلى ملفات والحصول عليها دون تصريح، واكتمال المراجعة في 15 مايو 2025، وفئات البيانات التي أُفصح عنها.

المصدر الثاني هو الإيداع الرسمي لدى المدعي العام لولاية مين، الذي يورد عددًا محدّثًا للمتأثرين على مستوى البلاد يبلغ 22,465. وتضم البوابة الرسمية لمكتب الحقوق المدنية في HHS قيدًا سابقًا مؤرخًا في 6 فبراير 2024 لحادث اختراق/تقنية معلومات طال خادم شبكة، وبلغ عدد المتأثرين الوارد فيه 28,543. ويبيّن التسلسل الزمني نطاقًا أوليًا وآخر لاحقًا للحادث نفسه، لا خرقين منفصلين.

رصدت Bradford Health نشاطًا غير معتاد داخل شبكتها في 8 ديسمبر، وبدأت تحقيقًا بمشاركة متخصصين في الأمن السيبراني من جهة خارجية. وخلص التحقيق إلى احتمال الوصول إلى بعض ملفات الشبكة والحصول عليها دون تصريح. ثم أجرت الجهة مراجعة شاملة لتحديد البيانات وربطها بالأشخاص المعنيين.

اكتملت مراجعة الملفات في 15 مايو 2025، وأُرسلت إشعارات مكتوبة عبر البريد الأمريكي في 30 مايو. وقالت الجهة إنه لا يوجد لديها دليل على إساءة استخدام المعلومات التي يُحتمل أن الحادث شملها.

شملت حقول بيانات الهوية، التي اختلفت من شخص إلى آخر، الأسماء وأرقام رخص القيادة وتواريخ الميلاد وأرقام جوازات السفر وأرقام الضمان الاجتماعي. ومن المحتمل أيضًا أن الحادث شمل أرقام الحسابات المالية وأرقام بطاقات الدفع مع وسيلة للوصول إلى الحساب. ولا يفترض هذا الوصف أن جميع فئات البيانات تأثرت لدى كل شخص تلقى إشعارًا.

قد يؤدي اقتران رقم الضمان الاجتماعي SSN بتاريخ الميلاد وبيانات وثيقة هوية حكومية أو جواز سفر إلى زيادة مخاطر انتحال الهوية وفتح حسابات جديدة. ويمكن لمن شمل الحادث معلومات حسابه المالي أو معلومات الوصول إليه مراجعة المعاملات غير المألوفة والتغييرات في المستفيد أو العنوان أو بيانات الاتصال عبر قناة معروفة للتواصل مع البنك. ولا يثبت إدراج هذه الفئة العامة أن الحادث شمل كلمة مرور.

تصف Bradford Health المعلومات الطبية بأمثلة تشمل تفاصيل التشخيص والعلاج، وأسماء الأطباء، وأرقام السجلات الطبية. ومن المحتمل أيضًا أن الحادث شمل معلومات التأمين الصحي. وتُعد هذه الفئات حساسة في سياق الصحة السلوكية، لكن الجهة لا تفصح علنًا عن الحالة الصحية المحددة لأي شخص أو علاجه أو نوع تأمينه الفرعي.

قد تبدو رسالة غير متوقعة تتضمن اسم طبيب حقيقي أو تشخيصًا أو تفاصيل علاج مقنعة. ويمكن لمتلقي الإشعارات مراجعة كشوف توضيح مزايا التأمين والسجلات الطبية والنشاط على بوابة المرضى، والتحقق من الخدمات أو التغييرات غير المألوفة عبر رقم رسمي للجهة المقدّمة للرعاية. وينبغي عدم إرسال معلومات صحية حساسة في رد على رسالة أو عبر رابط لم يُطلب إرساله.

يمثل عدد الأشخاص البالغ 28,543، الذي أُبلغت به HHS في 6 فبراير 2024، إخطارًا مبكرًا في قطاع الرعاية الصحية بعد نحو شهرين من اكتشاف الحادث. واستمرت مراجعة الجهة للملفات حتى 15 مايو 2025، بينما يسجل الإيداع اللاحق لدى ولاية مين 22,465 شخصًا على مستوى البلاد. ويحل العدد الأحدث، المستند إلى مراجعة مكتملة، محل ما ورد في التقرير الأولي؛ ويجب عدم جمع العددين.

يمثل عدد الأشخاص المتأثرين أو السجلات الذي نشره المصدر الرسمي نطاق الحادث المُبلّغ عنه. ولا يعني ذلك أن كل فئة بيانات أُفصح عنها تنطبق على كل شخص. ولا ينفي انخفاض العدد النهائي وقوع الحادث؛ فقد تستبعد المراجعة سجلات مكررة أو خارجة عن النطاق أو لا تستوجب الإخطار، مع تحديد الأشخاص الذين يلزم إخطارهم فعلًا.

قالت Bradford Health إنها نفّذت تدابير إضافية لتحسين أمن الشبكة وتقليل خطر وقوع حادث مشابه، وأبلغت جهات إنفاذ القانون بالحادث، وأنشأت مركز اتصال مجانيًا على الرقم 1-877-670-4122. وتذكر صفحتها أن ممثليها كانوا متاحين للإجابة عن الأسئلة المتعلقة بالحادث في أيام العمل من 7:00 صباحًا إلى 7:00 مساءً بالتوقيت المركزي.

ينبغي لمتلقي الإشعار الاستناد إلى حقول البيانات الواردة في رسالته، والنظر في تجميد الائتمان وتفعيل تنبيه احتيال ومراقبة فتح حسابات جديدة إذا شملت البيانات رقم الضمان الاجتماعي SSN أو وثيقة هوية حكومية؛ ومراجعة المعاملات إذا شملت بيانات مالية؛ ومراجعة مزايا التأمين وسجلات المرضى إذا شملت بيانات صحية. لا تشارك كلمة مرور أو رقم SSN كاملًا أو رمزًا يُستخدم لمرة واحدة، ولا ترسل أي دفعة مالية استجابةً لرسالة غير متوقعة تستخدم اسم Bradford.