خرق بيانات Coastal Carolina Health Care لعام 2025

الدليل الأساسي هو إخطار أرسله الممثل القانوني لـ Coastal Carolina Health Care إلى المدعي العام لولاية نيوهامبشير في 24 مارس 2026. ويذكر الإخطار أن CCHC رصدت في 28 مارس 2025 نشاطًا غير معتاد عطّل الوصول إلى أنظمة معينة، وبدأت تحقيقًا بمساعدة شركة مستقلة للأمن السيبراني. ولم تقتصر نتيجة المراجعة على احتمال الوصول إلى المعلومات، بل خلصت إلى أن معلومات معينة جرى الوصول إليها والحصول عليها دون تصريح.

يُدرج سجل HHS OCR المؤسسة بوصفها مقدم رعاية صحية، ويصنّف الواقعة على أنها حادث اختراق/تقنية معلومات (IT)، ويحدد خادم الشبكة بوصفه موقع المعلومات. ويوضح العدد الإجمالي البالغ 110,304 أشخاص النطاق الوطني المسجل لدى الجهة التنظيمية، وهو نطاق لم يُذكر في خطاب الولاية. كما نشرت SecurityWeek تقريرًا مستقلًا عن واقعة CCHC، استنادًا إلى مقارنة إجمالي HHS بالمستند المقدّم إلى الولاية.

خلص التحقيق إلى أن جهة مجهولة وصلت إلى معلومات شخصية وصحية وحصلت عليها بين 21 مارس و27 مارس 2025. ويستند تاريخ الواقعة إلى أقدم نشاط تقني يمكن التحقق منه عبر المصادر العامة. ورصدت CCHC النشاط غير المعتاد في 28 مارس، وأمّنت شبكتها، وبدأت تحقيقًا جنائيًا رقميًا لتحديد طبيعة الواقعة.

واستعانت المؤسسة بعد ذلك بخدمة مراجعة من طرف ثالث لتحديد مجموعة البيانات المتأثرة والأشخاص الذين يتعين إخطارهم. وأكدت CCHC نطاق التأثير وحصلت على معلومات اتصال كافية في 26 فبراير 2026. وأُرسلت خطابات الإخطار إلى المستهلكين بالبريد في 23 مارس 2026؛ وتعكس الفترة التي تقارب عامًا الوقت المستغرق في مراجعة الملفات والهويات، لا مدة وصول الجهة المجهولة.

تصف المراسلات التنظيمية البيانات المتأثرة بأنها معلومات شخصية ومعلومات صحية محمية. وفيما يتعلق بسكان نيوهامبشير، تذكر صراحةً أن الأسماء ربما وردت مع أرقام الضمان الاجتماعي. كما عرضت CCHC خدمات مخصصة لحماية الهوية على الأشخاص الذين تأثرت أرقام ضمانهم الاجتماعي أو أرقام رخص قيادتهم وبطاقات هويتهم الصادرة عن الولاية.

لا تُعد أعداد الأشخاص أو حقول البيانات أو ادعاءات الجهات المهدِّدة التي لم يُتحقق منها جزءًا من نطاق الواقعة الموثق علنًا. كما لا يُفترض أن كل حقل كان موجودًا لدى جميع الأشخاص البالغ عددهم 110,304.

يذكر النص الرسمي أن المعلومات الحساسة جرى الوصول إليها والحصول عليها، لا مجرد احتمال الاطلاع عليها. وتوفر هذه النتيجة دليلًا جنائيًا رقميًا قويًا يدعم احتمال وقوع البيانات تحت سيطرة الجهة المجهولة، ويميّز الواقعة عن مجرد توقف للأنظمة. غير أن المستند المقدّم لا يؤكد نشر الملفات علنًا أو بيع جميع الحقول.

عند إرسال الإخطارات، قالت CCHC إنه لا توجد لديها أدلة على إساءة استخدام البيانات المعنية بالواقعة. ولا ينفي غياب إساءة استخدام معروفة المخاطر المستقبلية المرتبطة بمعلومات الهوية والمعلومات الصحية التي جرى الحصول عليها. ولا تُعد أعداد الأشخاص أو حقول البيانات أو ادعاءات الجهات المهدِّدة التي لم يُتحقق منها جزءًا من نطاق الواقعة الموثق علنًا.

يمثل عدد الأشخاص المتضررين أو السجلات الذي نشره المصدر الرسمي النطاق المبلّغ عنه للواقعة. ولا يعني ذلك أن كل فئة من فئات البيانات المذكورة شملت كل شخص. أما سكان نيوهامبشير البالغ عددهم 34 شخصًا، والمذكورون في الخطاب التنظيمي للولاية، فهم مجموعة فرعية صغيرة من ذلك الإجمالي الوطني، وليسوا واقعة منفصلة أو عددًا إضافيًا من الضحايا. ولا يُضاف عدد هذه المجموعة الفرعية إلى العدد الوطني.

ولا يمثل إجمالي الأشخاص عدد الملفات أو حقول البيانات التي جرى الحصول عليها. فقد تخص أرقام الضمان الاجتماعي ورخص القيادة وبطاقات الهوية الصادرة عن الولاية مجموعات فرعية معينة فقط، لم يُعلن عن أحجامها.

عرضت CCHC على الأشخاص الذين تأثرت أرقام ضمانهم الاجتماعي أو أرقام رخص قيادتهم وبطاقات هويتهم الصادرة عن الولاية خدمات مجانية لمدة 12 شهرًا تشمل مراقبة الائتمان، واستعادة الهوية، والتأمين ضد سرقة الهوية، من خلال Cyberscout. وينبغي لمتلقي الإخطارات الالتزام بالموعد النهائي واتباع تعليمات التفعيل الواردة في خطاباتهم. كما أخطرت المؤسسة FBI وطبّقت ضوابط أمنية إضافية.

ينبغي مراجعة التقارير الائتمانية والحسابات المالية وكشوف مزايا التأمين الصحي بانتظام لرصد أي معاملات أو خدمات أو مطالبات غير مألوفة. كما ينبغي التحقق عبر قناة رسمية معروفة من أي رسائل غير متوقعة تتعلق بالدفع أو التحقق وترد باسم CCHC أو أحد مقدمي الرعاية الصحية.