خرق بيانات Concord Orthopaedics لعام 2024

يربط الإشعار الرسمي للمؤسسة بين Concord Orthopaedics وبرنامج تسجيل المرضى التابع لجهة خارجية وتاريخ الإخطار في 21 نوفمبر 2024 وأنواع البيانات التي يُحتمل أنها تأثرت، ضمن واقعة واحدة. ويؤكد السجل لدى HHS OCR أيضًا اسم المؤسسة والعدد الإجمالي البالغ 72,815 شخصًا وتاريخ الإبلاغ في 25 مارس 2025.

تربط مراجعات مستقلة للحادث بين التفاصيل الواردة في الإشعار الرسمي والعدد الإجمالي البالغ 72,815 المسجّل لدى الجهة الرقابية، باعتبارها تخص خرق البيانات نفسه. ولا تكشف المصادر العامة عن التاريخ الدقيق لبدء الوصول غير المصرح به أو انتهائه، لذا يُعتمد 21 نوفمبر هنا بوصفه تاريخ إخطار المؤسسة، ولا يُقدَّم على أنه التاريخ الدقيق للهجوم.

في 21 نوفمبر، علمت Concord Orthopaedics بأن شخصًا ربما وصل دون تصريح إلى برنامج تابع لجهة خارجية يُستخدم لتسجيل المرضى والأشخاص الراغبين في تلقي الرعاية، وإثبات حضورهم للمواعيد. عطّلت المؤسسة الوصول إلى البرنامج، وأعادت تعيين كلمات المرور الخاصة به، واستعانت بمتخصصين خارجيين في الأمن السيبراني للتحقيق في طبيعة الواقعة.

خلص التحقيق إلى أن الطرف غير المصرح له وصل إلى البرنامج، وربما اطّلع على بيانات التسجيل واستقبال المرضى للمواعيد المخزنة فيه أو حصل عليها. ولم يجد التحقيق أي دليل على اختراق البيئة الداخلية لـConcord Orthopaedics أو نظام سجلاتها الصحية الإلكترونية، الذي كان مُستضافًا ضمن تطبيق منفصل.

قد تكون المعلومات، بحسب كل شخص، قد شملت الأسماء وتواريخ الميلاد وأرقام الضمان الاجتماعي وأرقام رخص القيادة أو بطاقات الهوية الصادرة عن الولاية، إضافة إلى صور وثائق الهوية لبعض الأشخاص. وشملت بيانات المواعيد التي أُعلن عنها نوع الموعد واسم الطبيب وتاريخ الموعد ومكانه.

وقد تشمل حقول التأمين الصحي رقم المستفيد من خطة التأمين الصحي ورقم الخطة ومعلومات الأهلية للتغطية التأمينية. ولا يتضمن هذا السجل عناوين البريد الإلكتروني أو كلمات المرور أو بطاقات الدفع أو الحسابات المصرفية، لأن الإشعار الرسمي بالحادث لا يؤكد أن هذه الحقول كانت ضمن البيانات المعنية.

يمكن أن يؤدي الجمع بين أرقام الهوية وتفاصيل مواعيد الرعاية الصحية والتأمين إلى زيادة خطر سرقة الهوية وتقديم مطالبات تأمينية احتيالية وعمليات الاحتيال الموجّهة. ومن الصعب تغيير أرقام الضمان الاجتماعي ورخص القيادة، لذا قد تظهر إساءة استخدامها بعد وقت طويل من الواقعة الأصلية.

قد يتمكن من يعرف نوع موعد حقيقي أو اسم طبيب أو تفصيلًا من تفاصيل التأمين من صياغة رسالة مقنعة. ولا تثبت معرفة هذه التفاصيل أن المتصل يمثل Concord Orthopaedics أو طبيبًا أو شركة تأمين، وينبغي التحقق من الطلبات غير المتوقعة عبر قناة مستقلة.

عطّلت Concord Orthopaedics الوصول إلى البرنامج التابع للجهة الخارجية، وأعادت تعيين كلمات المرور، وأجرت تحقيقًا بمساعدة متخصصين خارجيين في الأمن السيبراني، وأخطرت سلطات إنفاذ القانون الفيدرالية. وقالت المؤسسة أيضًا إنها تراجع الممارسات والسياسات المتعلقة بالمورّدين الخارجيين.

أُخطر الأشخاص المتأثرون، وعُرضت خدمات حماية الهوية على الأفراد المؤهلين. ويؤكد الإشعار الرسمي فقط الواقعة المتعلقة ببرنامج التسجيل التابع للجهة الخارجية؛ ولا يكشف عن طريقة الوصول الأولي أو ثغرة تقنية أو الفترة الزمنية الدقيقة التي حدث فيها الوصول.

ينبغي لمن تلقوا إشعارًا مراجعة تقاريرهم الائتمانية وحساباتهم المالية والكشوف التوضيحية للتأمين الصحي بانتظام، بحثًا عن حسابات أو معاملات أو مواعيد أو مطالبات غير مألوفة. وينبغي إبلاغ المؤسسة المالية المعنية وشركة التأمين الصحي بأي بنود مثيرة للشك، وإبلاغ السلطات المختصة عند الضرورة.

يجب عدم مشاركة أرقام الضمان الاجتماعي أو معلومات التأمين أو كلمات المرور أو رموز التحقق التي تُستخدم لمرة واحدة عبر رسائل البريد الإلكتروني أو غيرها من الرسائل أو المكالمات غير المتوقعة. وينبغي التحقق من أي طلب يدّعي أنه صادر عن Concord Orthopaedics باستخدام معلومات الاتصال المنشورة على الموقع الرسمي، لا عبر رابط أو رقم هاتف وارد في الرسالة.