خرق بيانات Excelsior Orthopaedics في 2024

المصدر الأساسي هو الإخطار المعدّل المنشور على البوابة الرسمية للمدعي العام لولاية مين. وتوثّق الرسالة المرتبطة به اكتشاف الحادثة في 23 يونيو، والنتائج الأولية للتحقيق الجنائي الرقمي، ونطاق المرضى والموظفين المشمولين، ودفعات الإشعارات، واستجابة المؤسسة. ويرفع الإخطار المعدّل اللاحق الإجمالي المعلن سابقًا إلى 394,752 شخصًا.

المصدر الثاني هو البوابة الرسمية لخروق البيانات التابعة لمكتب الحقوق المدنية في HHS، حيث يفيد السجل الخاص بـ Excelsior Orthopaedics بتضرر 292,913 شخصًا من حادثة اختراق خادم شبكة/حادثة في تقنية المعلومات بتاريخ 21 أغسطس 2024. ويقارن مصدر متاح للعامة بشأن خرق البيانات بصورة مستقلة بين إخطار مين المعدّل وإشعارات الولايات الصادرة في سبتمبر 2025 للتوفيق بين بياناتها، ويوثّق الإجمالي الحالي وفئات البيانات التي تعرضت للكشف.

رصدت Excelsior نشاطًا غير معتاد على شبكتها في 23 يونيو. فقطعت الجهة المقدمة للرعاية الصحية الوصول الخارجي إلى الشبكة، وعزلت المعدات المشتبه بها، وغيّرت بيانات اعتماد المستخدمين والمسؤولين، واستعانت بشركة متخصصة في الأمن السيبراني لإجراء تحقيق جنائي رقمي. وأظهرت النتائج الأولية تعرض بيانات تخص مرضى وموظفين حاليين وسابقين للاختراق.

عملت Excelsior بعد ذلك مع متخصصين خارجيين في مراجعة البيانات لربط الملفات التي تعرضت للاختراق بالأفراد المعنيين. وتلقت مجموعة أولية صغيرة إشعارات في أغسطس 2024؛ وبعد اكتمال الجزء الأكبر من عملية التنقيب في البيانات في ديسمبر، أُرسلت دفعة ثانية من الرسائل بالبريد في 31 ديسمبر. ولا تحدد السجلات العامة طريقة الدخول الأولي، أو الثغرة المستغلة، أو الجهة التي نفذت الهجوم.

شملت الحقول الأساسية، التي اختلفت من شخص إلى آخر، الأسماء الكاملة، والعناوين، وتواريخ الميلاد، وأرقام الضمان الاجتماعي، وأرقام رخص القيادة، أو أرقام بطاقات الهوية لغير السائقين. كما وردت معلومات القياسات الحيوية في نموذج إشعار الموظفين. ولا يفترض السجل أن جميع هذه الحقول شملتها الحادثة لكل متلقٍ؛ فالإشعار الخاص بكل شخص هو الذي يحدد نطاق البيانات المتأثرة لديه.

يمكن أن يؤدي الجمع بين رقم SSN وتاريخ الميلاد ورقم هوية حكومية إلى زيادة مخاطر الاحتيال بفتح حسابات جديدة، أو انتحال الشخصية، أو التصيّد الاحتيالي المقنع. وترد «معلومات القياسات الحيوية» بوصفها فئة عامة في النموذج الرسمي.

تضمنت حقول بيانات المرضى التي يُحتمل أن تكون قد تأثرت أرقام السجلات الطبية، والتشخيصات ورموزها، وأماكن العلاج، وأنواع الإجراءات الطبية، وأسماء مقدمي الرعاية، وتكاليف العلاج، وتواريخ تقديم الخدمات. كما وردت معلومات التأمين الصحي، وأرقام المشتركين أو الأعضاء، وأرقام حسابات المرضى. وقد تجعل هذه الحقول محاولات الاحتيال المتعلقة بالرعاية الصحية والفواتير والمنافع التأمينية أكثر إقناعًا.

يمكن لمتلقي الإشعارات مراجعة كشوف توضيح المنافع التأمينية، والنشاط في بوابة المرضى، والخدمات غير المعروفة لهم، ومحاولات تحصيل الديون غير المتوقعة، ورسائل مقدمي الرعاية. ولا يُعد أي تواصل موثوقًا لمجرد أنه يتضمن تشخيصًا حقيقيًا، أو تاريخ خدمة فعليًا، أو اسم مقدم رعاية. تحقّق منه بصورة مستقلة عبر رقم هاتف معروف لمقدم الرعاية أو عبر بوابة المرضى المعتمدة.

يمثل الرقم 394,752 أحدث إجمالي على مستوى البلاد في السجل المعدّل لدى المدعي العام لولاية مين. أما العدد السابق المعلن، 357,000، والعدد الوارد لدى HHS، 292,913، فيعكسان مراجعات ونطاقات إخطار اكتملت في أوقات مختلفة؛ ولا يجوز جمع هذه الأعداد معًا.

ذكرت رسالة مين الرسمية في يناير 2025 أن العمل على تحديد الأشخاص المتضررين لا يزال جاريًا، ثم رفع الإخطار المعدّل اللاحق عددهم. ولا تُضاف الأعداد الفرعية لسكان الولايات إلى الإجمالي على مستوى البلاد، تفاديًا لاحتساب الأشخاص أكثر من مرة.

اتخذت Excelsior إجراءات لاحتواء الحادثة داخل الشبكة، وغيّرت بيانات الاعتماد، وأفادت بأنها نشرت أدوات أمنية جديدة، وأعادت تصميم أنظمة رئيسية وعمليات عمل، وعززت الوعي الأمني والتنبيهات. كما أبلغت FBI بالحادثة. وعرض نموذج إشعار مين على المتضررين 12 شهرًا من خدمات مراقبة الائتمان ومعالجة آثار سرقة الهوية مجانًا عبر CyberScout.

ينبغي لمتلقي الإشعار التأكد من الموعد النهائي للتسجيل الوارد في رسالته، والنظر في تجميد الائتمان، وتفعيل تنبيه للاحتيال، ومراقبة فتح الحسابات الجديدة إذا كان رقم SSN أو رقم هوية ضمن البيانات المتأثرة. وبالنسبة إلى البيانات الصحية، ينبغي مراجعة كشوف المنافع التأمينية وحسابات المرضى. لا تشارك كلمة مرور، أو رقم SSN كاملًا، أو رمزًا يُستخدم لمرة واحدة، ولا ترسل أي دفعة مالية استجابةً لرسالة غير متوقعة تستخدم اسم Excelsior. وإذا ظهرت رسالة مشبوهة أو نشاط مشبوه في الحساب، فينبغي التحقق منه عبر قناة الاتصال الرسمية الحالية للمؤسسة، من دون استخدام الروابط الواردة في الرسالة.