خرق بيانات Compassion Health Care في 2025

يربط الإشعار الرسمي الصادر عن CHC بين رصد النشاط في 17 مارس، وتحديد نطاق البيانات في 21 مارس، وحقول البيانات التي أُعلن عنها، باعتبارها أجزاء من واقعة واحدة. ويؤكد قيد HHS OCR اسم Compassion Health Care بصفتها مقدم رعاية صحية في ولاية كارولينا الشمالية، وتاريخ الإبلاغ في 16 مايو 2025، وإجمالي عدد المتأثرين البالغ 23,282 شخصًا.

ويؤيد ملخص مستقل للواقعة تفاصيل حادثة الشبكة نفسها، وتسلسل التواريخ، وفئات البيانات. ولأن توقيت بدء الوصول غير المصرح به لم يُعلن، يُسجَّل 17 مارس بوصفه التاريخ المؤكد لاكتشاف الحادثة وتعطّل الشبكة، ولا يُعدّ ذلك ادعاءً بأنه تاريخ أول وصول.

في 17 مارس، رصدت CHC نشاطًا مشبوهًا على شبكتها وتعطّلًا ناتجًا عنه. وبدأت المؤسسة تحقيقًا بمساعدة شركة خارجية متخصصة في الأمن السيبراني لتحديد طبيعة ونطاق أي وصول غير مصرح به يُحتمل أنه وقع في أنظمتها.

في 21 مارس، علمت CHC باحتمال أن تكون جهة غير مصرح لها قد اطّلعت على بيانات مخزنة في بعض الأنظمة أو نزّلتها. ولا يكشف الإشعار العام عن طريقة الوصول الأولي، أو الثغرة التقنية، أو أول يوم للوصول، أو مدته، ولا يستنتج هذا السجل تلك التفاصيل.

ربما تضمنت سجلات المرضى الأسماء والعناوين وأرقام الهواتف وتواريخ الميلاد أو الأعمار وأرقام الضمان الاجتماعي وأرقام رخص القيادة ومعلومات التأمين الصحي والمطالبات، إلى جانب معلومات سريرية أو تشخيصية متعلقة بالخدمات الطبية التي تلقوها.

وربما تضمنت سجلات الموظفين أو المورّدين الأسماء والعناوين وتواريخ الميلاد وأرقام الضمان الاجتماعي ومعلومات الدخل ومعلومات الحسابات المالية، وربما أرقام الحسابات المصرفية وأرقام التوجيه المصرفي. ولا ينص الإشعار على أن جميع حقول البيانات انطبقت على كل شخص؛ ولا يشمل هذا السجل عناوين البريد الإلكتروني وكلمات المرور وبطاقات الدفع، لعدم تأكيد تأثرها.

يمكن استخدام معلومات الضمان الاجتماعي ورخص القيادة والمعلومات المصرفية في سرقة الهوية، أو فتح حسابات احتيالية، أو إجراء تحويلات غير مصرح بها، أو ارتكاب احتيال ضريبي. ويصعب تغيير بعض هذه المعرّفات، مما يجعل مراقبة الائتمان والحسابات على المدى الطويل إجراءً مناسبًا.

وقد تساعد تفاصيل التأمين الصحي والمطالبات والمعلومات السريرية مهاجمًا على صياغة رسائل مقنعة تشير إلى خدمة تلقاها الشخص بالفعل. ولا يثبت امتلاك معلومات صحية دقيقة أن المرسل يمثل CHC أو طبيبًا أو بنكًا أو شركة تأمين.

حققت CHC في الواقعة بمساعدة متخصصين خارجيين في الأمن السيبراني، وأرسلت إشعارات مكتوبة إلى المرضى والموظفين والمورّدين الذين يُحتمل تأثرهم في 16 مايو 2025. كما أنشأت المؤسسة خط مساعدة مخصصًا للإجابة عن الأسئلة المتعلقة بالواقعة.

وعُرضت على الأشخاص الذين يُحتمل تأثرهم خدمات مجانية لمراقبة الائتمان والتعافي من سرقة الهوية. ولا يتضمن الإشعار الرسمي استنتاجًا قاطعًا بشأن وقوع إساءة استخدام من عدمه؛ إذ تهدف التدابير الوقائية إلى تقليل المخاطر المحتملة.

ينبغي لمتلقي الإشعارات مراجعة تقارير الائتمان والحسابات المصرفية والمالية والكشوف التوضيحية للتأمين الصحي والسجلات الضريبية بانتظام، بحثًا عن حسابات أو معاملات أو خدمات أو مطالبات لا يعرفونها. وينبغي إبلاغ المؤسسة المعنية فورًا بأي قيود مشبوهة.

لا تشارك رقم الضمان الاجتماعي أو المعلومات المصرفية أو البيانات الصحية أو كلمة المرور أو رمز تحقق يُستخدم لمرة واحدة استجابةً لبريد إلكتروني أو رسالة أو مكالمة غير متوقعة. ويجب التحقق من أي طلب يُزعم أنه صادر عن CHC باستخدام بيانات الاتصال الواردة في الموقع الرسمي للمؤسسة، لا الروابط أو الأرقام الواردة في الرسالة.