خرق بيانات Centers Laboratory لعام 2025

ذكرت Centers في إشعارها العلني أن جهة غير مصرح لها حصلت على وصول محدود إلى البيانات في أنظمتها ونسخت بيانات. وحدد خبراء في التحليل الجنائي الرقمي من جهة خارجية فترة الوصول من 9 إلى 14 أغسطس. وتعني هذه الصياغة أن المؤسسة أكدت الحصول على البيانات ونقلها إلى خارج الأنظمة، لا مجرد احتمال الاطلاع عليها.

يصنف HHS OCR الواقعة على أنها حادث قرصنة/تقنية معلومات، ويحدد موقع المعلومات بأنه خادم شبكة، ونوع الجهة بأنها مقدم رعاية صحية. وقارنت HIPAA Journal الإفصاح الرسمي بالسجل الفيدرالي، وأيدت ما ورد بشأن نسخ ملفات المرضى وفئات البيانات والعدد الإجمالي البالغ 542,377 شخصًا. ولا تنسب المصادر الهجوم إلى مجموعة محددة بالاسم، سواء من مجموعات برامج الفدية أو غيرها من مجموعات التهديد.

يستند تاريخ الحادث إلى أقدم نشاط تقني يمكن التحقق منه من المصادر العامة. وظلت الجهة غير المصرح لها داخل أنظمة معينة حتى 14 أغسطس؛ ورصدت Centers نشاطًا مريبًا في 25 أغسطس، وعزلت الأنظمة المتأثرة، واتخذت إجراءات لمنع أي وصول إضافي. ولا يُستخدم تاريخ اكتشاف الحادث بدلًا من تاريخ بدايته الأسبق.

استعانت المؤسسة بعد ذلك بخبراء من جهة خارجية لمراجعة البيانات وتحديد ما إذا كانت الملفات المنسوخة تحتوي على معلومات حساسة، ولمن تعود تلك المعلومات. وبعد التحقق داخليًا بصورة شاملة من النتائج، أُرسلت رسائل الإخطار بالبريد. ويحمل السطر الخاص بالحادث في سجل HHS تاريخ تقديم 18 يونيو 2026، ونشرت HIPAA Journal النطاق النهائي للحادث في يوليو.

قد تحتوي الملفات على الاسم إلى جانب تاريخ الميلاد ورقم الضمان الاجتماعي. وكانت أرقام رخص القيادة أو بطاقات الهوية الصادرة عن الولايات، وكذلك أرقام جوازات السفر، من بين حقول الهوية التي أُعلن عن احتمال وجودها. ولا تُعد أي أعداد للأشخاص أو حقول بيانات أو ادعاءات للجهات المهدِّدة لم يُتحقق منها جزءًا من نطاق الحادث المعلن للعامة.

تُعد أرقام الضمان الاجتماعي ووثائق الهوية الحكومية وجوازات السفر معرّفات طويلة الأمد. وقد يؤدي جمعها مع الأسماء وتواريخ الميلاد إلى زيادة خطر فتح حسابات احتيالية أو انتحال الهوية أو التصيد الاحتيالي الموجّه. ولا تفصح المصادر عن واقعة إساءة استخدام معروفة، لكن تأكيد نسخ البيانات يعني أن الخطر قد يستمر مستقبلًا.

كانت المعلومات الطبية ومعلومات التأمين الصحي موجودة في مجموعة البيانات المنسوخة. ولم يعدد الإشعار الرسمي، كلًّا على حدة، حقولًا أكثر تحديدًا مثل التشخيصات أو نتائج الفحوص أو العلاجات أو أرقام وثائق التأمين أو معرّفات الأعضاء.

قد تكشف بيانات المختبر والتأمين عن علاقة المريض بجهة تقدم له الرعاية أو عن سياق صحي حساس. وعند جمعها مع معلومات الهوية، قد تساعد على ارتكاب سرقة الهوية الطبية أو تقديم مطالبات تأمينية كاذبة أو الاحتيال بانتحال صفة مقدم رعاية حقيقي. ولا يعني ذلك تأكيد وجود الفئتين معًا في بيانات كل متضرر.

يمثل عدد الأشخاص المتأثرين أو السجلات الذي نشره المصدر الرسمي النطاق المبلغ عنه للحادث. ولا يعني ذلك أن كل فئة من فئات البيانات المعلنة تنطبق على كل شخص. وهذا هو نطاق المعلومات الصحية المحمية الذي أبلغت به Centers Lab NJ LLC الجهة الفيدرالية. ولا يُوزع هذا العدد على المؤسسات العميلة، ولا يُكرر لكل فئة من فئات البيانات، ولا يُستبدل به التعبير التقريبي 542K الوارد في عنوان إخباري.

أثر الحادث في مرضى عملاء المختبر من مقدمي الرعاية الصحية، لكن المصادر لا تنشر أعدادًا فرعية موثّقة لكل عميل. وقد يؤدي إنشاء حوادث منفصلة لكل عميل أو تقسيم العدد بناءً على افتراضات إلى تكرار احتساب الأشخاص. ويمثل هذا السجل في LeakData حادث المختبر الواحد ضمن فترة الوصول نفسها والتقرير الفيدرالي نفسه.

طبقت Centers تدابير إضافية لأمن البيانات؛ وأفادت HIPAA Journal بأن المتأثرين عُرضت عليهم خدمات مجانية لمراقبة الائتمان والحماية من سرقة الهوية لمدة تتراوح بين 12 و24 شهرًا، بحسب نطاق تأثرهم. وينبغي لمتلقي الإخطارات اتباع تعليمات التسجيل، ومراجعة تقارير الائتمان ونشاط الحسابات، والنظر في تجميد الائتمان إذا شمل الحادث معرّفًا حساسًا.

ينبغي أيضًا مراجعة كشوف التأمين الصحي التوضيحية والسجلات الطبية بحثًا عن فحوص أو خدمات أو مقدمي رعاية أو مطالبات غير مألوفة. ويجب التحقق من أي طلبات غير متوقعة للدفع أو تقديم معلومات باسم Centers Laboratory، عبر الموقع الرسمي أو رقم هاتف معروف.