خرق بيانات CPAP Medical لعام 2024

المصدر الأساسي هو إخطار حادثة أمن البيانات الصادر عن CPAP Medical Supplies and Services. وهو يصف مباشرةً الوصول غير المصرّح به إلى الشبكة، والتحقيق الجنائي الرقمي ومراجعة المستندات، والفترة التي استمر خلالها الوصول، وبدء إرسال الإخطارات، وخدمات مراقبة الائتمان التي عُرضت على الأشخاص الذين كانت أرقام ضمانهم الاجتماعي موجودة ضمن البيانات، والتوصيات الوقائية.

المصدر الثاني هو بوابة خروقات البيانات التابعة لمكتب الحقوق المدنية في وزارة الصحة والخدمات الإنسانية الأمريكية، HHS OCR، التي تؤكد أن نطاق الحادثة شمل 90,133 شخصًا، وتؤكد تصنيفاتها. أما المصدر الثالث فهو تقرير HIPAA Journal الصادر في 20 أغسطس 2025، الذي يصف التواريخ وفئات البيانات بصورة مستقلة استنادًا إلى الإخطار المقدّم إلى المدعي العام لولاية مين. وتتوافق المصادر في ما يتعلق بالمؤسسة، ونطاق الحادثة، والوصول إلى الشبكة، وتواريخ المراجعة.

دخلت جهة غير مصرّح لها إلى بيئة شبكة CPAP Medical في 13 ديسمبر، واستمر وصولها حتى 21 ديسمبر. وقالت المؤسسة إنها، عندما علمت بالحادثة، احتوت التهديد وأمّنت بيئتها الداخلية وبدأت تحقيقًا شاملًا بالتعاون مع مختصين خارجيين في الأمن السيبراني لتحديد ما إذا كانت بيانات شخصية أو حساسة قد تأثرت.

بعد تحقيق جنائي رقمي ومراجعة يدوية معقّدة للمستندات، خلصت CPAP Medical في 27 يونيو 2025 إلى أن الأنظمة المتأثرة احتوت على معلومات صحية وشخصية تتيح تحديد هوية أصحابها. وبدأ إرسال الإخطارات في 15 أغسطس إلى من توفرت معلومات الاتصال بهم. ويستند تاريخ الحادثة إلى أقدم نشاط تقني يمكن التحقق منه من خلال المصادر العامة.

وفقًا لتقرير HIPAA Journal المستند إلى الإخطار المقدّم إلى الجهة التنظيمية، قد تحتوي الملفات على الأسماء الكاملة، وتواريخ الميلاد، وأرقام الضمان الاجتماعي، والمعلومات المالية والمصرفية، والمعلومات الطبية، ومعلومات التأمين الصحي. ويؤكد الإخطار الرسمي المنشور على الإنترنت أيضًا وجود معلومات شخصية تتيح تحديد هوية أصحابها ومعلومات صحية محمية، ويذكر أن أرقام الضمان الاجتماعي كانت موجودة في بعض الملفات المتأثرة.

لم تقل المؤسسة إن جميع حقول البيانات كانت تخص كل واحد من الأشخاص البالغ عددهم 90,133. لذلك لا يجمع هذا السجل فئات البيانات لتكوين إجماليات لمجموعات فرعية، ولا يتضمن عناوين بريد إلكتروني أو كلمات مرور أو تفاصيل بطاقات دفع لم يُفصح عنها. ومع احتمال الاطلاع على الملفات أو استخراجها خارج الأنظمة، لا تثبت المصادر أنها نُشرت علنًا أو بيعت إلى مجموعة تهديد محددة بالاسم.

يمثّل عدد الأشخاص المتأثرين أو السجلات الذي نشره المصدر الرسمي النطاق المبلّغ عنه للحادثة. ولا يعني ذلك أن كل فئة من فئات البيانات المُفصح عنها كانت تخص كل شخص. ويظهر العدد الإجمالي نفسه في التقارير المستندة إلى الإخطار المقدّم إلى المدعي العام لولاية مين. وهو يحصي الأشخاص المشمولين بالإخطارات، لا الملفات أو الوصفات الطبية أو طلبات الأجهزة أو مطالبات التأمين أو عناصر البيانات الفردية.

توفّر CPAP Medical، التي تتخذ من جاكسونفيل مقرًا لها، منتجات لعلاج اضطرابات النوم وأجهزة CPAP، ولا سيما للأسر العسكرية وأفراد القوات المسلحة في الخدمة الفعلية أو المتقاعدين.

قالت CPAP Medical إنها احتوت التهديد، وأمّنت أنظمتها، وأجرت تحقيقًا جنائيًا رقميًا بالتعاون مع مختصين خارجيين، وأكملت مراجعة المستندات. وذكرت المؤسسة أيضًا أنها تقيّم ممارساتها وضوابطها الداخلية وتعدّلها باستمرار لتحسين أمن المعلومات الشخصية وخصوصيتها.

لم يكن قد عُثر، وقت إرسال الإخطارات، على أي دليل على سوء استخدام ناتج عن الحادثة. ومع ذلك، حصل الأشخاص الذين شملت الحادثة أرقام ضمانهم الاجتماعي على خدمات مجانية لمراقبة الائتمان، ونُصح متلقّو الإخطارات بمراجعة حساباتهم المالية وتقاريرهم الائتمانية وكشوف توضيح المزايا في التأمين الصحي. ولا يعني عدم وجود سوء استخدام معروف انتفاء المخاطر المستقبلية.

ينبغي لمتلقّي الإخطارات تفعيل خدمات المراقبة المعروضة خلال فترة التسجيل المحددة، ومراجعة التقارير الائتمانية وحركة الحسابات المصرفية وسجلات التأمين الصحي بحثًا عن حسابات أو معاملات أو خدمات لا يعرفونها. وينبغي الإبلاغ عن أي قيد يثير الشك عبر قناة رسمية معروفة مسبقًا للمؤسسة المالية أو شركة التأمين أو مقدّم الرعاية الصحية.

قد يجعل الارتباط بالمجتمعات العسكرية، إلى جانب المعلومات الصحية، رسائل التصيّد الموجّه أكثر إقناعًا. ويجب عدم فتح الروابط مباشرةً في الرسائل غير المتوقعة التي تدّعي أنها صادرة عن CPAP Medical أو برنامج لمزايا العسكريين أو بنك أو شركة تأمين؛ بل ينبغي بدء التواصل عبر موقع رسمي أو رقم جرى التحقق منه.