خرق بيانات Dameron Hospital في 2023

يوضح إشعار Dameron Hospital الرسمي الموجّه للمستهلكين تواريخ الحادث، والوصول غير المصرح به، واحتمال إخراج ملفات، وفئات البيانات، وإجراءات الإخطار. ويذكر أيضًا أن المستشفى احتوى التهديد بعد علمه بالحادث، وبدأ تحقيقًا بمشاركة متخصصين خارجيين في الأمن السيبراني.

يُدرج سجل HHS OCR المؤسسة نفسها بوصفها مقدم رعاية صحية، ويحدد العدد الإجمالي بـ210,706 أشخاص، ويصنّف الحادث ضمن حوادث الاختراق/تقنية المعلومات (IT) التي شملت خادم شبكة. ولا يعني هذا العدد أن جميع حقول البيانات كانت موجودة لكل شخص.

علم Dameron بحادث أمني في 5 نوفمبر 2023 أو قرابة ذلك التاريخ، واحتوى التهديد، وبدأ تحقيقًا جنائيًا رقميًا. وكشفت المراجعة أن طرفًا ثالثًا غير مخوّل وصل إلى الأنظمة المتأثرة بين 4 و5 نوفمبر، وربما أخرج بعض الملفات منها.

استغرق التحقيق الجنائي الرقمي والمراجعة الشاملة للوثائق وقتًا طويلًا. وفي 21 مارس 2025، خلص المستشفى إلى أن الملفات المتأثرة ربما تحتوي على معلومات شخصية أو معلومات صحية محمية، وبدأ إخطار الأشخاص في 2 أبريل 2025.

يذكر الإشعار الرسمي أن حقول البيانات اختلفت من شخص إلى آخر، وربما شملت الأسماء الكاملة، وتواريخ الميلاد، وأرقام الضمان الاجتماعي، وأرقام رخص القيادة، وأرقام بطاقات الهوية الصادرة عن الولايات أو غيرها من أرقام وثائق الهوية الحكومية، ومعلومات بطاقات الائتمان أو الخصم، والمعلومات الطبية، ومعلومات التأمين الصحي.

لا ينبغي افتراض أن القائمة الكاملة لفئات البيانات تنطبق على جميع الأشخاص البالغ عددهم 210,706. ولم تُضَف عناوين البريد الإلكتروني وكلمات المرور ومعلومات الحسابات المصرفية إلى القائمة، لأن الإشعار لا يؤكد هذه الحقول على نحو منفصل.

يمكن الجمع بين الاسم وتاريخ الميلاد ورقم الضمان الاجتماعي وبيانات الهوية الحكومية لتسهيل سرقة الهوية، أو فتح حسابات احتيالية، أو تقديم طلبات ائتمان، أو ارتكاب احتيال ضريبي. كما يواجه الأشخاص الذين أُبلغوا بأن الحادث شمل معلومات بطاقاتهم خطر إجراء مدفوعات غير مصرح بها.

يمكن استخدام المعلومات الطبية ومعلومات التأمين الصحي في إعداد فواتير رعاية صحية زائفة، أو الاحتيال التأميني، أو إرسال رسائل تنتحل صفة مقدم رعاية صحية. ومعرفة المتصل بتفصيل طبي صحيح لا تثبت أنه يمثل المستشفى أو شركة تأمين.

يقول Dameron إنه احتوى التهديد، وعمل مع متخصصين خارجيين في الأمن السيبراني، وراجع الملفات لتحديد الأشخاص الذين ربما تأثروا. وعُرضت خدمة مجانية لمراقبة الائتمان على الأشخاص المستوفين لشروط الاستفادة ممن كانت أرقام ضمانهم الاجتماعي موجودة في الملفات.

قال المستشفى إنه لم يكن لديه، وقت صدور الإشعار، أي دليل على استخدام المعلومات الطبية التي شملها الحادث لغير الغرض المخصص لها. ويعكس هذا التصريح ما كان معلومًا وقت الإخطار، ولا يضمن استحالة إساءة استخدام المعلومات لاحقًا.

ينبغي لمتلقي الإشعار مراجعة تقارير الائتمان وحركة الحسابات المصرفية أو البطاقات بانتظام بحثًا عن حسابات أو معاملات لا يعرفونها، والنظر في تجميد الائتمان مجانًا أو تفعيل تنبيه بشأن الاحتيال عند الاقتضاء. وينبغي إبلاغ الجهة المصدرة للبطاقة فورًا بأي معاملات غير مألوفة.

ينبغي التحقق مباشرةً مع المستشفى أو شركة التأمين من أي بنود غير متوقعة في السجلات الطبية أو كشوف المنافع التأمينية أو مطالبات التأمين. لا تشارك رقم الضمان الاجتماعي، أو تفاصيل البطاقة، أو كلمة المرور، أو رمز التحقق استجابةً لمكالمة أو رسالة غير متوقعة.