خرق بيانات DC Health Link في 2023

تتجاوز أنواع البيانات الواردة في سجل DC Health Link بكثير ما يتضمنه سجل حساب عادي. فالاسم وعنوان البريد الإلكتروني ورقم الهاتف والعنوان الفعلي تتيح التواصل المباشر مع الشخص. ويؤدي تاريخ الميلاد ورقم الضمان الاجتماعي دورًا حاسمًا في التحقق من الهوية وإجراءات التقدم للحصول على خدمات مالية. كما يوفر وضع الجنسية والخلفية العرقية والجنس وجهة العمل وسياق شراء التأمين الصحي/خطته معلومات حساسة عن الحياة الخاصة للشخص وعلاقاته المهنية وتفضيلاته في التأمين الصحي. وتكتسب هذه البيانات مجتمعة قيمة كبيرة في سرقة الهوية، والاحتيال الموجّه، ومطالبات التأمين الزائفة، ومحاولات الهندسة الاجتماعية المصممة خصيصًا لاستهداف الشخص.

عندما يتوفر رقم الضمان الاجتماعي وتاريخ الميلاد معًا، تكون المخاطر طويلة الأمد؛ إذ لا يمكن تغيير هذين الحقلين بسهولة كما تُغيَّر كلمة المرور. وتسهّل معلومات الهاتف والعنوان على المهاجمين الوصول إلى المستخدم عبر المكالمات أو الرسائل النصية أو البريد أو الإشعارات المزيفة المنسوبة إلى مؤسسات. ويمكن أن تساعد معلومات جهة العمل والشراء/خطة التأمين في انتحال صفة جهات مرتبطة بالتأمين الصحي للشخص بصورة أكثر إقناعًا. كما أن حقلي الجنسية والانتماء العرقي حساسان من ناحية الخصوصية. لذلك لا يقتصر هذا السجل على مسألة أمان الحساب؛ بل ينبغي النظر إليه أيضًا من زاوية إساءة استخدام الهوية والاحتيال المالي والسلامة الشخصية.

يمثل العدد 48,145 المستخدم في هذا السجل نطاق عناوين البريد الإلكتروني الفريدة التي جرى التحقق منها. وتحدد الإشعارات الرسمية الصادرة عن DC Health Link عدد العملاء المتأثرين بـ56,415. ولا يتعارض هذان العددان بالضرورة؛ فأحدهما يمثل نطاق عناوين البريد الإلكتروني التي يمكن التحقق منها في مجموعة بيانات الخرق، بينما يمثل الآخر نطاق الإشعارات والعملاء المتأثرين. فقد لا يتوفر عنوان بريد إلكتروني للشخص المعني، أو قد تكون بعض السجلات محفوظة من خلال أحد أفراد الأسرة أو أحد المُعالين، أو قد يشمل نطاق الإشعارات أشخاصًا لا يرتبطون بعنوان بريد إلكتروني مطابق. لذلك يعكس العدد المعروض للمستخدم نطاقًا محدودًا للتحقق.

تعود الحادثة إلى مارس 2023، وظهرت للعلن عند مشاركة البيانات في منتدى على الإنترنت. وأفادت التحقيقات بأن الوصول غير المصرح به كان مرتبطًا بتهيئة النظام والخطأ البشري؛ إلا أن هذه الصفحة تركز على المخاطر التي تواجه المستخدم أكثر من تفاصيل الهجوم التقنية. ويجب توضيح حالة حقول البيانات في السجل: فوضع الجنسية، وتواريخ الميلاد، وعناوين البريد الإلكتروني، وجهات العمل، والانتماءات العرقية، والجنس، والأسماء، وأرقام الهواتف، والعناوين الفعلية، ومعلومات الشراء/خطة التأمين، وأرقام الضمان الاجتماعي هي حقول مؤكدة. أما حقل كلمة المرور فلم يُؤكَّد وجوده في هذا السجل.

الأشخاص الأكثر عرضة للخطر هم المستخدمون الذين تقدموا بطلبات تأمين صحي فردي أو عائلي عبر DC Health Link، والعملاء الحاليون أو السابقون، وأفراد أسرهم، والمُعالون، والموظفون المشمولون بالتغطية عبر هذا السوق. وبما أن DC Health Link يرتبط أيضًا بأعضاء الكونغرس وموظفيهم وأسرهم، فقد تمس بعض السجلات مسؤولين عموميين بارزين أو أقاربهم. ويزيد هذا الوضع من مخاطر الهندسة الاجتماعية الموجّهة. فقد ينتحل المهاجمون صفة جهات رسمية أو ممثلي التأمين الصحي، مستعينين بأسماء وعناوين وجهات عمل وتواريخ ميلاد حقيقية، وبمعلومات عن سياق التأمين.

قد تطال مخاطر سرقة الهوية أفراد الأسرة والمُعالين أيضًا، وليس صاحب الحساب وحده بصورة مباشرة. فقد تكون طلبات التأمين الصحي قد تضمنت معلومات عن الأطفال أو الأزواج أو غيرهم من أفراد الأسرة. ولأن حقولًا مثل رقم الضمان الاجتماعي ووضع الجنسية وتاريخ الميلاد تبقى دون تغيير لفترات طويلة، فقد تستمر المخاطر لسنوات. وبالنسبة إلى المسجلين باستخدام بريد إلكتروني تابع لشركة أو مؤسسة عامة، يمكن للمهاجمين استخدام معلومات جهة العمل لإعداد إشعارات أكثر إقناعًا. لذلك ينبغي تقييم هذا السجل من منظورَي الأمان الفردي وأمان المؤسسات.

تتمثل الخطوة الأولى للمستخدمين الذين تطابقت بياناتهم مع سجل DC Health Link في الحد من مخاطر إساءة استخدام الهوية. وينبغي مراقبة التقارير الائتمانية وعمليات فتح الحسابات الجديدة، والنظر، إن أمكن، في خيارات تجميد الائتمان أو تفعيل تنبيهات الاحتيال. كما ينبغي رصد محاولات تقديم طلبات مزيفة أو إجراء معاملات مالية باستخدام رقم الضمان الاجتماعي وتاريخ الميلاد ومعلومات العنوان. ويجب توخي الحذر بوجه خاص من الرسائل غير المتوقعة المتعلقة بالتأمين الصحي أو الضرائب أو الائتمان أو الخدمات العامة أو التحقق من الهوية. وبدلًا من استخدام الروابط الواردة في الرسالة، ينبغي اللجوء إلى قنوات التواصل المعروفة لدى المؤسسة.

تتعلق الخطوة الثانية بالتواصل وأمان الحساب. ينبغي حماية حساب البريد الإلكتروني بكلمة مرور قوية وفريدة، وتفعيل المصادقة متعددة العوامل، ومراجعة الجلسات غير المعروفة وقواعد إعادة توجيه البريد. ويجب عدم مشاركة المعلومات مع المتصلين الذين يطلبون رمز تحقق أو رقم الضمان الاجتماعي أو معلومات التأمين الصحي أو بيانات إضافية لإثبات الهوية. وينبغي التحقق مباشرةً من الطلبات المقدمة باسم DC Health Link أو أحد مزودي التأمين الصحي عبر قناة تواصل معروفة، دون استخدام الرابط الوارد في الرسالة. ولأن السجلات قد تكون محفوظة باسم أفراد الأسرة والمُعالين، ينبغي أيضًا مناقشة إجراءات التحقق نفسها داخل الأسرة.

تُظهر هذه الحادثة المخاطر طويلة الأمد المرتبطة ببيانات الهوية والطلبات المخزنة لدى أسواق التأمين الصحي. وينبغي للمستخدمين المواظبة على مراقبة الوضع الائتماني، والتحقق من عمليات فتح الحسابات، ومتابعة الطلبات الضريبية ومراسلات التأمين الصحي. ولأن رقم الضمان الاجتماعي لا يمكن تغييره أو يصعب تغييره بشدة، فإن المخاطر لا تنتهي بمجرد تغيير كلمات المرور على المدى القصير. وينبغي للمستخدمين اتباع إجراءات تحقق أكثر صرامة عند تلقي طلبات تبدو رسمية عبر البريد الإلكتروني والهاتف. وإذا ظهرت مؤشرات على سرقة الهوية، فعليهم التواصل سريعًا مع المؤسسات المعنية.

أما الدرس الذي ينبغي للمؤسسات استخلاصه فهو ضرورة إدارة بيانات التأمين الصحي والخدمات العامة بأعلى مستوى من الحساسية. وينبغي التدقيق بانتظام في ضوابط الوصول، وإعدادات الخدمات السحابية، وصلاحيات إنشاء التقارير، وعمليات تصدير البيانات، وتخزين التقارير القديمة. ويجب عدم إتاحة حقول مثل الجنسية والأصل العرقي ورقم الضمان الاجتماعي وخطة التأمين الصحي على نطاق واسع دون ضرورة. وعند الاستجابة للحوادث، لا يكفي إيقاف النظام، بل يلزم أيضًا تقديم إرشادات واضحة للأشخاص المتأثرين بشأن حماية الهوية ومراقبة الائتمان وقنوات التواصل الآمنة.

إذا كانت نتيجة التحقق في هذه الصفحة مطابقة لسجل DC Health Link، فينبغي للمستخدم اعتبار النتيجة عالية الدقة. وعليه أولًا مراقبة مؤشرات سرقة الهوية والاستغلال المالي. كما ينبغي حماية حسابات البريد الإلكتروني والتأمين الصحي وخدمات المرافق، ومراجعة الجلسات غير المعروفة وقواعد إعادة توجيه البريد وخيارات استرداد الحساب. ويجب على المستخدم التحقق مباشرةً من أي رسائل غير متوقعة يتلقاها باسم DC Health Link أو مزود التأمين الصحي قبل النقر على أي روابط.

على الرغم من قِدم حادثة خرق بيانات DC Health Link، فإن رقم الضمان الاجتماعي وتاريخ الميلاد والعنوان ووضع الجنسية وسياق التأمين الصحي تشكل مخاطر طويلة الأمد. ولا ينبغي النظر إلى هذا السجل على أنه مجرد إشعار بحادثة ماضية. بل ينبغي للمستخدم مواصلة إجراءات مراقبة الائتمان والهوية، وإطلاع أفراد الأسرة على المخاطر المحتملة، واتباع إجراءات تحقق أكثر صرامة عند تلقي اتصالات غير متوقعة تتعلق بالتأمين الصحي أو الخدمات العامة. ويساعد هذا النهج على الحد من مخاطر إساءة استخدام البيانات الحساسة على المدى الطويل.