خرق بيانات Chord Specialty Dental Partners لعام 2024

يوضح إشعار Chord الرسمي المؤرخ في 14 مارس 2025 تاريخ اكتشاف الواقعة، والفترة التي حدث فيها الدخول، والنظام المتأثر، وفئات البيانات. كما يذكر صراحةً أن CDHA Management, LLC وSpark DSO, LLC تزاولان أعمالهما باسم Chord Specialty Dental Partners.

يتطابق سجل HHS OCR مع الإشعار في الأسماء القانونية وتاريخ الإشعار والعدد الإجمالي البالغ 173,430 شخصًا، ويصنّف الواقعة على أنها حادث اختراق/تقنية معلومات يتعلق بالبريد الإلكتروني. ويتطابق أيضًا سجل مستقل للحادث مع فترة الدخول وإجمالي عدد الأشخاص المتأثرين وفئات المعلومات المعلن عنها.

في 11 سبتمبر 2024 أو نحو ذلك، اكتشفت Chord نشاطًا مشبوهًا مرتبطًا بحساب بريد إلكتروني لأحد الموظفين. وأمّنت المؤسسة الحساب، وعملت مع متخصصين من جهات خارجية لتحديد طبيعة الواقعة ونطاقها، والتحقق مما إذا كان قد حدث أي نشاط آخر.

توصل التحقيق إلى أن شخصًا غير مصرّح له دخل إلى عدة حسابات لفترات محدودة بين 19 أغسطس و25 سبتمبر. ولا يكشف الإشعار الرسمي عن طريقة الدخول الأولي أو ثغرة تقنية أو هوية الفاعل، ولذلك لا يصف هذا السجل الواقعة بأنها تصيّد احتيالي أو هجوم ببرمجيات الفدية أو عمل مجموعة محددة بالاسم.

يقول الإشعار الرسمي إن حقول البيانات اختلفت من شخص إلى آخر، وقد تكون شملت الاسم إلى جانب العنوان، أو رقم الضمان الاجتماعي، أو معلومات رخصة القيادة، أو معلومات الحساب البنكي، أو معلومات بطاقة الدفع، أو تاريخ الميلاد، أو المعلومات الطبية، أو معلومات التأمين الصحي.

لا ينبغي افتراض أن القائمة كاملة تنطبق على جميع الأشخاص البالغ عددهم 173,430. ولم تؤكد Chord أن المعلومات أُخذت من الحسابات، وقالت إنها لا تعلم بوجود أدلة على إساءة استخدامها؛ ومع ذلك، لم تتمكن من استبعاد احتمال أن يكون الشخص غير المصرّح له قد اطّلع عليها.

يمكن الجمع بين الأسماء والعناوين وتواريخ الميلاد والمعرّفات الحكومية لاستخدامها في سرقة الهوية، أو فتح حسابات احتيالية، أو تقديم طلبات تحقق من الهوية تبدو مقنعة. ولا تعني معرفة متصل أو مرسل غير متوقع بتفصيل شخصي حقيقي أن التواصل مشروع.

قد تزيد معلومات الحسابات البنكية وبطاقات الدفع من خطر إجراء معاملات غير مصرّح بها. وقد تُستخدم المعلومات الطبية ومعلومات التأمين الصحي في مطالبات احتيالية، أو انتحال صفة مقدّمي الرعاية، أو عمليات احتيال موجّهة، لذا تستحق السجلات المالية وسجلات الرعاية الصحية مراجعة منتظمة.

تقول Chord إنها أمّنت الحساب المعني، وأجرت مراجعة شاملة بالتعاون مع متخصصين في الأمن السيبراني من جهات خارجية، وراجعت المعلومات المخزّنة في الحسابات لتحديد الأشخاص المتأثرين. كما راجعت المؤسسة تدابيرها الأمنية وقدّمت تدريبًا إضافيًا للموظفين.

أُرسلت إشعارات إلى الأشخاص الذين توفرت معلومات عن عناوينهم، وعُرضت خدمات مراقبة الائتمان وحماية الهوية على الأفراد المؤهلين. وهذا التمييز مهم: فالإشعار يصف احتمال الوصول إلى المعلومات، ولا يدّعي تأكيد الحصول على البيانات أو استخدامها لأغراض احتيالية.

ينبغي لمتلقي الإشعارات مراجعة حركة حساباتهم البنكية وبطاقاتهم بحثًا عن معاملات لا يتعرفون عليها، والتحقق من تقاريرهم الائتمانية، والنظر في تجميد الائتمان أو تفعيل تنبيه بشأن الاحتيال عند الاقتضاء. ويجب الإبلاغ عن النشاط المشبوه مباشرةً إلى المؤسسة المالية المعنية والسلطات المختصة.

ينبغي التحقق مباشرةً مع مقدّم الرعاية أو شركة التأمين من أي بنود غير متوقعة في السجلات الطبية أو كشوف التأمين الصحي، أو أي طلبات دفع غير متوقعة. ولا تشارك رقم الضمان الاجتماعي أو تفاصيل البطاقة أو كلمة المرور أو رمز التحقق لمرة واحدة استجابةً لبريد إلكتروني أو مكالمة أو رسالة غير متوقعة.