خرق بيانات Denton County MHMR Center لعام 2024

يتمثل الدليل الأساسي في إشعار أمن البيانات المنشور على نطاق المركز نفسه، والمحدّث في 30 ديسمبر 2025، إلى جانب ملف PDF للإشعار الأولي الذي يرد رابط إليه في الإشعار المحدّث. وينص الإشعار على أن جهة غير مصرح لها وصلت إلى معلومات على الشبكة بين 24 و25 ديسمبر 2024. وتثبت هذه النتيجة أن البيانات المحمية كانت ضمن نطاق الوصول، ولا تقتصر على إثبات انقطاع الخدمة أو وجود نشاط غير مفسَّر.

يصنّف السجل لدى HHS OCR مؤسسة Denton MHMR Center بوصفها جهة مقدمة للرعاية الصحية، والواقعة بوصفها اختراقًا/حادثًا في تقنية المعلومات، وموقع المعلومات بوصفه خادم شبكة؛ ويذكر أن عدد المتأثرين بلغ 108,967 شخصًا. وقارنت HIPAA Journal بصورة مستقلة بين الإشعار الرسمي والسجل الاتحادي والقائمة المحدّثة لحقول البيانات. وتتفق المصادر الثلاثة بشأن المؤسسة والفترة التي حدث فيها الوصول ونطاق الحادث.

رصد المركز نشاطًا غير معتاد على الشبكة في 24 ديسمبر 2024 أو نحو ذلك التاريخ، فأمّن البيئة التقنية وبدأ تحقيقًا بمساعدة متخصصين من جهات خارجية. وخلصت المراجعة إلى أن الجهة غير المصرح لها تمكنت من الوصول خلال فترة محدودة من 24 إلى 25 ديسمبر. ويستند تاريخ الحادث إلى أقدم نشاط تقني يمكن التحقق منه بالاعتماد على المصادر العامة.

عندما نشرت المؤسسة إشعارًا بديلًا أوليًا في 21 فبراير 2025، كانت مراجعتها للملفات والأشخاص المعنيين لا تزال جارية. وحددت النطاق التفصيلي لعناصر البيانات المحتمل تأثرها في 10 أكتوبر، وأبلغت HHS OCR بالحادث في 5 نوفمبر، ثم أخطرت لاحقًا المدعين العامين في الولايات. وحُدّث الإشعار المنشور على الموقع في 30 ديسمبر ليتضمن خدمات مراقبة الائتمان وحماية الهوية.

تشمل القائمة الرسمية الحالية الأسماء والعناوين وأرقام تعريف المرضى وتواريخ الميلاد والتشخيصات والتاريخ الطبي وأرقام السجلات الطبية والعلاج الطبي والمعلومات المختبرية وأسماء الأطباء المعالجين والأدوية والتطعيمات ومعلومات التأمين الطبي والمعرّفات البيومترية. ولا تُعدّ أعداد الأشخاص وحقول البيانات وادعاءات الجهات المهدِّدة التي لم يُتحقق منها جزءًا من النطاق المعلن للحادث.

كما أشار ملف PDF المنشور في فبراير، قبل اكتمال المراجعة، إلى أرقام الضمان الاجتماعي والحسابات المصرفية بوصفها حقولًا محتملة. وتعرض الصفحة المحدّثة في ديسمبر النتائج التفصيلية للتحليل المكتمل، ولا تكرر ذكر هذين العنصرين.

يمثل عدد الأشخاص أو السجلات المتأثرة الذي نشره المصدر الرسمي النطاق المبلَّغ عنه للحادث. ولا يعني ذلك أن كل فئة بيانات ورد ذكرها تنطبق على كل شخص. وتحدد HIPAA Journal الأشخاص المعنيين بأنهم المرضى الحاليون والسابقون. ويحصي هذا الرقم الأفراد المشمولين بالإخطار، لا الملفات المنسوخة أو الصفوف أو الحقول؛ فقد تكون عدة أنواع من المعلومات المتعلقة بشخص واحد قد تأثرت.

يؤكد النص الرسمي الوصول إلى معلومات معينة، لكنه لا يقول إن ملفات أُخرجت أو نُشرت علنًا أو بيعت. ولا تُعدّ أعداد الأشخاص وحقول البيانات وادعاءات الجهات المهدِّدة التي لم يُتحقق منها جزءًا من النطاق المعلن للحادث. كذلك، لا ينسب النص كل فئة من فئات البيانات المذكورة إلى جميع الأشخاص البالغ عددهم 108,967.

أمّن المركز شبكته بعد اكتشاف النشاط غير المعتاد، واستعان بمتخصصين للتحقيق. وعمل لاحقًا مع خبراء في الأمن السيبراني من جهات خارجية لتطبيق تدابير حماية إضافية للشبكة، وراجع سياساته وإجراءاته الخاصة بحماية البيانات وعززها. ويذكر الإشعار الأولي أيضًا أنه جرى إبلاغ جهات إنفاذ القانون.

ينص الإشعار المحدّث على أن الأفراد الذين يُحتمل تأثرهم عُرضت عليهم خدمات مجانية لمراقبة الائتمان وحماية الهوية. وعند الإخطار، قال المركز إنه لم يكن لديه أي دليل على إساءة استخدام المعلومات فيما يتصل بالحادث. لكن عدم رصد إساءة استخدام لا يلغي المخاطر الأطول أمدًا التي تنطوي عليها المعلومات الصحية والبيومترية الحساسة.

يمكن لمتلقي الإشعار الاتصال بخط المساعدة المخصص لدى المركز للتأكد من أهليتهم والمواعيد النهائية للتسجيل في خدمات مراقبة الائتمان وحماية الهوية المعروضة. وينبغي مراجعة التقارير الائتمانية والكشوف المالية وبيانات شرح المنافع الصادرة عن التأمين الصحي بانتظام بحثًا عن حسابات أو معاملات أو أطباء أو خدمات مختبرية أو مطالبات تأمينية غير مألوفة.

إذا ظهر قيد غير معروف يتعلق برعاية أو وصفة طبية أو تطعيم أو تأمين، فتواصل مع مقدم الخدمة وشركة التأمين عبر القنوات الرسمية المعروفة. ولأن البيانات البيومترية لا يمكن تغييرها مثل كلمة المرور، فإن طلبات التحقق من الهوية غير المتوقعة تستدعي حذرًا خاصًا.