خرق بيانات Cary Pediatric Center لعام 2025

المصدر الأساسي هو ملف PDF بعنوان «إشعار بحادثة أمن البيانات» على موقع المؤسسة نفسها. ويصف الملف اكتشاف الحادثة في 19 سبتمبر، واحتواء الحادثة على مستوى الشبكة، والمراجعة الجنائية الرقمية المتخصصة، واقتصار النطاق على المكالمات المسجلة، وعدم تأثر السجلات الطبية الإلكترونية، وحقول البيانات المحتمل تأثرها، وتوفير خدمات حماية لمدة 12 شهرًا، وخط المساعدة على الرقم 855-522-4713.

المصدر الثاني هو القيد الرسمي في HHS/OCR المؤرخ في 17 نوفمبر، والذي يشمل 25,784 شخصًا. وتؤكد الصفحة الرئيسية الحالية للمؤسسة أنها الجهة نفسها وأن النطاق يعود إليها، كما تتضمن رابطًا مباشرًا إلى ملف PDF الرسمي للحادثة تحت عنوان «إشعار بحادثة بيانات». ويتيح ذلك التحقق المتقاطع من الحادثة وإجمالي عدد الأشخاص وهوية المؤسسة بالرجوع إلى سجلين من المصادر الأولية.

اكتشفت Cary Pediatric قرابة 19 سبتمبر أنها كانت مستهدفة بحادثة تمس أمن الشبكة. وعندما حاول طرف ثالث غير مخوّل التسلل إلى بيئة الشبكة، أمّنت المؤسسة الشبكة واستعانت بشركة متخصصة في الاستجابة للحوادث والتحليل الجنائي الرقمي لتحديد نطاق الوصول غير المصرّح به المحتمل. ولا تكشف الوثيقة العامة عن طريقة التسلل الأولية أو هوية الجهة المسؤولة.

خلص التحقيق إلى احتمال تعرض بعض المعلومات الشخصية للاختراق. وينص تحديدًا على أن البيانات الحساسة المعنية اقتصرت على التسجيلات الصوتية للمكالمات بين المرضى والعيادة، وأن السجلات الطبية الإلكترونية لم تتأثر. ولذلك، لا يستنتج هذا السجل أن ملفات المرضى العامة أو قاعدة بيانات EMR بأكملها تعرضت للكشف.

يرد في ترويسة ملف PDF تاريخ «19 فبراير 2025»، بينما يحدد نص الحادثة تاريخ اكتشافها في 19 سبتمبر 2025. ولأن تاريخ الترويسة يسبق الحادثة، فلا يمكن بناء تسلسل زمني متسق استنادًا إليه.

يُعتمد التاريخ الوارد في بيان المؤسسة، وهو 19 سبتمبر 2025، لتأريخ الحادثة واكتشافها، بينما يُعتمد قيد HHS/OCR المؤرخ في 17 نوفمبر 2025 للعدد الرسمي للأشخاص ولمرحلة الإبلاغ إلى الجهة التنظيمية. ويستند هذا النهج إلى تواريخ قابلة للتحقق دون إخفاء التناقض الواضح في الوثيقة. ولا يُضاف أي تاريخ آخر أو العام 2026 دون دليل.

يسرد الإشعار الرسمي الحقول التي يُحتمل أنها تعرضت للكشف، وهي الأسماء وتواريخ الميلاد والمعلومات الصحية المحمية. ويوضح أن أنواع المعلومات اختلفت من شخص إلى آخر، وأنه لم يتعرض كل شخص لكشف جميع العناصر المذكورة. ولا تُقسَّم المعلومات الصحية المحمية (PHI) إلى حقول أكثر تحديدًا تخص التشخيص أو الأدوية أو الإجراءات أو التأمين أو الدفع، لذا لا يتكهن هذا السجل بتلك التفاصيل.

كانت الوسيلة المتأثرة هي تسجيلات المكالمات الهاتفية. والمعلومات التي ربما ذُكرت أثناء مكالمة لا تعادل جميع المعلومات المخزنة في ملف المريض الإلكتروني. لذلك، تقتصر فئات البيانات على الصياغة الرسمية التي تذكر الاسم وتاريخ الميلاد وPHI، ولا يصنّف السجل السجلات الطبية الإلكترونية على أنها متأثرة.

25,784 هو عدد الأشخاص المتأثرين المنشور في بوابة HHS/OCR، وليس عدد التسجيلات الصوتية أو المكالمات أو الملفات. ويمثل عدد الأشخاص المتأثرين أو السجلات الذي نشره المصدر الرسمي النطاق المبلّغ عنه للحادثة. ولا يعني ذلك أن كل فئة من فئات البيانات المعلنة شملت كل شخص.

تاريخ 17 نوفمبر الوارد في HHS هو تاريخ الإبلاغ إلى الجهة التنظيمية، وليس يوم وقوع الحادثة. ولا تنشر المؤسسة بصورة منفصلة عدد مستلمي الإشعارات البريدية أو عدد المكالمات المسجلة.

قالت Cary Pediatric إنها أمّنت الشبكة، وأجرت تحقيقًا بالتعاون مع متخصصي IT، وراجعت إجراءات الحماية التقنية وعززتها، ورتبت لتوفير خدمات مجانية لمراقبة الائتمان والحماية من سرقة الهوية لمدة 12 شهرًا لجميع الأشخاص الذين يُحتمل تأثرهم. وعند إصدار الإشعار، قالت إنها لم تتلقَّ أي بلاغات عن إساءة استخدام المعلومات أو سرقة هوية مرتبطة بالحادثة.

يتاح خط المساعدة على الرقم 855-522-4713 خلال أيام العمل من الساعة 8:00 صباحًا إلى الساعة 8:00 مساءً بالتوقيت الشرقي. وينبغي لمستلم الإشعار الرجوع إلى إشعاره الخاص لمعرفة نطاق التأثر المتعلق به وتعليمات الاشتراك، وألا يقدم تاريخ ميلاده أو معلوماته الصحية أو كلمة مرور أو تفاصيل الدفع أو رمزًا يُستخدم لمرة واحدة عبر مكالمة أو رسالة غير متوقعة. وينبغي التحقق من أي سجلات صحية مثيرة للريبة مباشرةً مع العيادة. وإذا ظهرت رسالة أو واقعة مريبة تتعلق بالحساب، فينبغي التحقق منها عبر قناة الاتصال الرسمية الحالية للمؤسسة، دون استخدام الروابط الواردة في الرسالة.