خرق بيانات Covenant Health لعام 2025

تنشر صفحة «إشعار بحادث أمن بيانات» الرسمية التابعة لـ Covenant Health تاريخ دخول الطرف غير المصرح له إلى بيئة تقنية المعلومات، وتاريخ اكتشاف الحادث، وتأكيد الاطلاع على معلومات المرضى، وحقول البيانات المتأثرة. وقالت المؤسسة إنها بدأت إرسال رسائل بالبريد إلى الأشخاص المعروف تأثرهم في 11 يوليو 2025، وإنها سترسل إشعارات إضافية مع تحديد مزيد من المرضى خلال المراجعة التفصيلية للبيانات.

يوضح البلاغ المحدّث المقدّم إلى مكتب المدعي العام لولاية مين النطاق النهائي الموسّع، الذي بلغ 478,188 شخصًا. وقد نشرت SecurityWeek بصورة مستقلة تقارير عن إشعار الشركة وعن الزيادة مقارنةً بالبلاغ الأول الذي شمل 7,800 شخص. وتتفق المصادر على أن معلومات المرضى جرى الاطلاع عليها بالفعل؛ أما ادعاء مجموعة Qilin بشأن 850 GB و1.3 مليون ملف، فلا يمثّل إجماليًا للأشخاص أكدته الشركة، ولا يُستخدم بوصفه عددًا للسجلات.

خلص التحقيق الجنائي الرقمي إلى أن الطرف غير المصرح له دخل إلى بيئة Covenant Health في 18 مايو 2025. وتلقت المؤسسة تنبيهًا بشأن نشاط غير معتاد في 26 مايو، وبدأت تأمين الأنظمة واستعادة عملها بالتزامن مع التحقيق في مصدر الحادث. ونُشر أول إشعار علني وصدرت أولى الرسائل في 11 يوليو، بينما كانت مراجعة المعلومات والأشخاص المتأثرين لا تزال جارية.

أدى اكتمال المراجعة التفصيلية للبيانات في ديسمبر إلى زيادة كبيرة في عدد الأشخاص المبلّغ عن تأثرهم. ويسجل تحديث 31 ديسمبر في مين 478,188 شخصًا. ويوضح هذا التسلسل أن الإشعار المبكر قد يقتصر على الفئة التي تأكد تأثرها في ذلك الوقت؛ وتعتمد LeakData أحدث عدد رسمي صادر عن الجهة التنظيمية، بدلًا من الإبقاء على العدد المرحلي الأصغر بوصفه الحصيلة النهائية.

قالت الشركة إن محتوى البيانات اختلف من مريض إلى آخر، لكنه قد يشمل الاسم وحقلًا إضافيًا واحدًا أو أكثر. وتشمل الفئات المؤكدة العناوين، وتواريخ الميلاد، وأرقام السجلات الطبية، وأرقام الضمان الاجتماعي. ويمكن إساءة استخدام هذه المعرّفات في التحقق من الهوية، ومطابقة حسابات الرعاية الصحية، والاحتيال المالي؛ لذلك صُنّف الحادث بدرجة خطورة عالية وحساسية حرجة.

وشملت فئات البيانات الصحية أيضًا معلومات العلاج، مثل التشخيصات وتواريخ العلاج وأنواعه، إلى جانب معلومات التأمين الصحي.

يقع مقر Covenant Health في أندوفر بولاية ماساتشوستس، وتقدم خدمات الرعاية الصحية في أنحاء نيو إنجلاند وبنسلفانيا. ويذكر الإشعار الرسمي الجهات التابعة التالية: St. Joseph Hospital في ناشوا بولاية نيو هامبشير؛ وSt. Joseph Healthcare في بانغور بولاية مين؛ وSt. Mary's Health System في لويستون بولاية مين. ويتعامل هذا السجل معها بوصفها أطرافًا في خرق واحد يشمله التحقيق نفسه على مستوى الشركة.

يمثّل الرقم 478,188 الإجمالي المحدّث للأشخاص المتأثرين لدى Covenant Health، وليس تقديرًا ناتجًا عن جمع البلاغات المقدّمة إلى الجهات التنظيمية لكل منشأة على حدة. لذلك لا تُنشأ سجلات منفصلة للمستشفيات التابعة، ولا يُحتسب عمدًا مرة أخرى أي شخص ظهرت معلوماته لدى أكثر من منشأة. ولا يُفترض أن جميع الخدمات في كل ولاية تعمل فيها المؤسسة قد تأثرت؛ بل يظل النطاق مقتصرًا على الأفراد الذين جرى إخطارهم.

عرضت Covenant Health خدمات مجانية لمراقبة الائتمان والحماية من سرقة الهوية على الأشخاص الذين قد تكون أرقام ضمانهم الاجتماعي ضمن البيانات المتأثرة. وينبغي لمتلقي الإشعارات التسجيل خلال المهلة المحددة، ومراقبة تقارير الائتمان لرصد حسابات جديدة، ومراجعة مطالبات التأمين غير المألوفة. وإذا وردت في كشف خطة التأمين الصحي خدمة لم يتلقها الشخص، فعليه التواصل سريعًا مع الجهة المسؤولة عن الخطة ومؤسسة الرعاية الصحية.

قالت الشركة إنها لم تكن، في تاريخ الإشعار، على علم بأي إساءة استخدام احتيالية للمعلومات الشخصية مرتبطة بالحادث. لكن ذلك لا يلغي المخاطر طويلة الأمد، خصوصًا أن استبدال أرقام الضمان الاجتماعي والسجلات الطبية صعب أو مستحيل. ويمكن النظر في تجميد الملف الائتماني، وتفعيل تنبيه الاحتيال، واستخدام مصادقة قوية متعددة العوامل، ومراقبة الحسابات الضريبية، بحسب ما ثبت تعرّضه للخطر من بيانات كل شخص.

يمثّل عدد الأشخاص المتأثرين أو السجلات الذي نشره المصدر الرسمي النطاق المبلّغ عنه للحادث. ولا يعني ذلك أن كل فئة من فئات البيانات التي أُفصح عنها تخص كل شخص متأثر. ويستند تاريخ الحادث إلى أقدم نشاط تقني يمكن التحقق منه عبر المصادر العامة. أما اكتشافه في 26 مايو، والإخطار الأول في 11 يوليو، واكتمال المراجعة في ديسمبر، فهي مراحل منفصلة؛ ولا يُضاف العدد الوارد في الإشعار المرحلي القديم، والبالغ 7,800 شخص، إلى الإجمالي النهائي.

لا يتضمن السجل سوى ملخص الواقعة المتحقق منها، والعدد الحالي للأشخاص، وفئات البيانات، والتسلسل الزمني، وإرشادات الحماية. وإذا نشرت الجهة التنظيمية أو الشركة تصحيحًا أحدث، فيمكن إعادة تقييم الإجمالي والمحتوى استنادًا إلى تلك الوثيقة الصادرة مباشرةً عن الجهة التنظيمية أو الشركة.