خرق بيانات Brevard Skin and Cancer Center لعام 2025

المصدر الأساسي لرواية الحادث هو الإشعار الأمني العام الصادر عن Brevard. ورغم أن صفحة الشركة الأصلية أعادت رمز الخطأ 404 عند مراجعتها، فإن نسخة محفوظة بصيغة PDF تؤكد اكتشاف الحادث في 14 أكتوبر، والوصول إلى الأنظمة في نحو 28 سبتمبر، وفئات البيانات المعنية، وإبلاغ FBI، وخط المساعدة التابع لـ IDX. وينص الإشعار صراحةً على أن بعض البيانات استُخرجت ونُقلت خارج الأنظمة.

المصدر الثاني هو السجل الرسمي لدى HHS/OCR، الذي يشمل 54,570 شخصًا. وتؤيد رسالة إلى المستهلكين مؤرخة في 26 ديسمبر، نشرها مكتب المدعي العام لولاية ماساتشوستس، بصورة مستقلة أنواع بيانات المرضى وتواريخ الحادث وتقديم خدمات IDX لمدة 24 شهرًا. ولا تؤكد النصوص الرسمية اسم المهاجم أو حجم بيانات يبلغ 1.8 تيرابايت، لذا استُبعدت هذه الادعاءات الواردة في مصادر ثانوية.

بعد اكتشاف الحادث في 14 أكتوبر، استعانت Brevard بخبراء في الأمن السيبراني، واتخذت خطوات لاحتواء الحادث، وبدأت معالجة آثاره في بيئتها الإلكترونية. وخلص التحقيق إلى أن طرفًا ثالثًا غير مخوّل وصل إلى بعض أنظمة البيانات في 28 سبتمبر أو نحو ذلك التاريخ. وقالت الشركة إنها واصلت تحليل المواد لتحديد الأشخاص المتأثرين وأنواع المعلومات التي جرى الوصول إليها.

لا يوضح النص المنشور للعامة الموعد الدقيق لانتهاء الوصول، أو طريقة الوصول الأولي، أو هوية الطرف غير المخوّل. لكنه يؤكد استخراج بعض البيانات ونقلها خارج الأنظمة، وهو ما يميز هذا الحادث عن حادث لا يُذكر فيه سوى احتمال الوصول إلى البيانات. ويذكر الإشعار أيضًا أن الحادث لم يعطّل الخدمات ولن يؤثر في رعاية المرضى.

بالنسبة إلى المرضى الحاليين أو السابقين، تشمل البيانات المحتمل تأثرها الاسم الكامل، وتاريخ الميلاد، وعنوان السكن، ورقم الضمان الاجتماعي، ورقم الهاتف، والتشخيص والمعلومات السريرية، وعنوان البريد الإلكتروني، ومعلومات الفوترة والمطالبات. وتورد رسالة المستهلكين المنشورة في ماساتشوستس فئات بيانات المرضى نفسها. ولا ينبغي افتراض أن جميع هذه البيانات كانت موجودة لكل شخص.

بالنسبة إلى الموظفين الحاليين أو السابقين، يشمل النطاق المحتمل الاسم الكامل، وتاريخ الميلاد، وعنوان السكن، ورقم SSN، ورقم الهاتف، وحالة صحية مذكورة في نموذج FMLA، وعنوان البريد الإلكتروني. وذكرت Brevard بصورة منفصلة أنه لا يُعتقد أن المعلومات تشمل أرقام الحسابات المالية أو المعلومات المصرفية أو تفاصيل بطاقات الائتمان أو الخصم؛ لذلك لا تُعرض هذه البيانات المستبعدة هنا بوصفها بيانات تعرضت للكشف.

العدد 54,570 هو الإجمالي الرسمي الحالي للأشخاص، المنشور في بوابة HHS/OCR في 12 ديسمبر 2025. أما العدد 53,255 فيرد في صفحة ثانوية عن الحادث نُشرت أول مرة في 10 ديسمبر، قبل إدراج سجل HHS بيومين. ويمثل عدد الأشخاص المتأثرين أو السجلات الذي نشره المصدر الرسمي نطاق الحادث المبلّغ عنه. ولا يعني ذلك أن كل فئة من فئات البيانات المعلنة كانت تخص كل شخص.

لا يُجمع العددان معًا، ولا يُنشأ لكل منهما سجل خرق منفصل؛ فهما قياسان لنطاق الحادث نفسه في وقتين مختلفين. ويُستخدم الإجمالي الرسمي الحالي لدى HHS، البالغ 54,570 شخصًا.

قد يؤدي الجمع بين الاسم وتاريخ الميلاد والعنوان ورقم SSN إلى زيادة مخاطر انتحال الهوية، أو الاحتيال بفتح حسابات جديدة، أو الاحتيال الضريبي، أو الاحتيال للحصول على إعانات. وقد تساعد تفاصيل التشخيص والمعلومات السريرية والفوترة والمطالبات في صياغة رسائل مزيفة مقنعة تتعلق بالرعاية الصحية. وينبغي لمستلمي الإشعارات متابعة تقاريرهم الائتمانية، وكذلك مستندات شرح المنافع التأمينية والفواتير الطبية غير المتوقعة.

ليست الرسالة التي تبدو صادرة عن Brevard أو عن موظف معروف في العيادة موثوقة تلقائيًا، حتى إن تضمنت تشخيصًا حقيقيًا أو تفصيلًا فعليًا من معلومات الفوترة. استخدم الموقع الإلكتروني أو رقم الهاتف المعروف لمقدم الرعاية بدلًا من رابط داخل الرسالة، ولا تشارك كلمة مرور أو رقم الضمان الاجتماعي كاملًا أو رمزًا للاستخدام مرة واحدة، ولا تسدد أي مبلغ. وقد يكون من المناسب وضع تنبيه احتيال أو تجميد ائتماني مجاني إذا ظهر نشاط ائتماني لا تعرفه.

قالت Brevard إنها احتوت الحادث وأمّنت بيئتها، وعملت مع فرق تقنية المعلومات والأمن السيبراني لمراجعة الأنظمة المتأثرة، وقيّمت سلامة البيانات، وطبّقت تدابير حماية أمنية معززة. وأبلغت FBI والجهات التنظيمية المعنية بالحادث. كما راجعت الشركة سياسات وإجراءات الخصوصية والأمن، مع النظر في تدابير إضافية لحماية الشبكة.

عُرضت على الأشخاص المتأثرين خدمات لمدة 24 شهرًا عبر IDX، تشمل مراقبة الائتمان لدى مكاتب الائتمان الثلاثة، وCyberScan، واستعادة الهوية، وغيرها من وسائل الحماية. ويحدد الإشعار العام 13 فبراير موعدًا نهائيًا للتسجيل، بينما تحدد الرسالة الفردية اللاحقة المنشورة في ماساتشوستس 26 مارس 2026؛ لذا ينبغي للمستلمين اتباع ما ورد في رسائلهم الخاصة. ويتاح الاتصال بالرقم 1-833-779-4803 في أيام العمل من الساعة 9:00 صباحًا إلى الساعة 9:00 مساءً بالتوقيت الشرقي للولايات المتحدة.