خرق بيانات FYZICAL في 2024

يربط الإشعار الرسمي لشركة Fyzical Acquisition Holdings بين تاريخ اكتشاف الواقعة في 9 ديسمبر 2024، واحتمال الوصول غير المصرح به إلى بيانات البريد الإلكتروني، وإتمام مراجعة البيانات في 25 نوفمبر 2025، وأنواع المعلومات المُفصح عنها، ضمن واقعة واحدة. ويؤكد سجل HHS OCR اسم الجهة وبيئة البريد الإلكتروني والإجمالي الحالي للمتأثرين، البالغ 43,045 شخصًا.

ويصف ملخص مستقل للواقعة أيضًا الوثائق المقدمة إلى سلطات الولايات، والتسلسل الزمني للحادث، وحقول البيانات المُفصح عنها. ويمثل العدد المعلن لتكساس، وهو 1,801 شخصًا، جزءًا من المتأثرين بالحادث نفسه في تلك الولاية، وليس واقعة منفصلة أو عددًا إضافيًا يُضاف إلى إجمالي HHS على مستوى البلاد البالغ 43,045 شخصًا.

رصدت الجهة نشاطًا غير معتاد في بيئة البريد الإلكتروني لديها في 9 ديسمبر، وبدأت تحقيقًا لفهم طبيعة الواقعة ونطاقها. وخلص التحقيق إلى احتمال الاطلاع على بعض بيانات البريد الإلكتروني أو نسخها دون تصريح في إطار الحادث.

لا يفصح الإشعار العام عن وقت بدء الوصول، أو الحسابات أو الثغرة التقنية التي استُخدمت، أو هوية الطرف المسؤول. لذلك يُسجَّل 9 ديسمبر بوصفه تاريخ اكتشاف الواقعة، لا بوصفه تاريخًا مؤكدًا لأول وصول أو حدًا زمنيًا لفترة الوصول.

شملت المعلومات التي يُحتمل أنها تأثرت، بحسب الشخص، الأسماء وتواريخ الميلاد وأرقام الضمان الاجتماعي وأرقام رخص القيادة أو بطاقات الهوية الصادرة عن الولايات. كما وردت معلومات الحسابات المالية وبطاقات الدفع ضمن حقول البيانات المُفصح عنها في الإشعار الرسمي.

وربما كانت معلومات التأمين الصحي والمعلومات الطبية مشمولة أيضًا. وتوضح الجهة صراحةً أن حقول البيانات لم تكن جميعها منطبقة على كل شخص؛ ولا تُضاف عناوين البريد الإلكتروني وكلمات المرور إلى القائمة، لأنها ليست ضمن أنواع المعلومات المُفصح عنها علنًا.

قد يتيح الجمع بين أرقام الهوية والمعلومات المالية والصحية سرقة الهوية أو فتح حسابات بطرق احتيالية أو الاحتيال في المدفوعات أو إرسال رسائل موجّهة تبدو مقنعة. ولأن أرقام الضمان الاجتماعي وأرقام وثائق الهوية الحكومية لا يمكن تغييرها ببساطة، فقد يكون من المناسب مواصلة المراقبة لفترة طويلة.

قد يستغل شخص يعرف تفاصيل فعلية عن العلاج أو التأمين أو الشؤون المالية هذه المعرفة لصياغة طلب أكثر إقناعًا، مدعيًا أنه يمثل FYZICAL أو مقدم رعاية صحية أو بنكًا أو جهة حكومية. لكن امتلاك هذه التفاصيل لا يثبت أنه مخوّل بذلك، وينبغي التحقق من الطلبات غير المتوقعة عبر قناة مستقلة.

راجعت شركة Fyzical Acquisition Holdings بيانات البريد الإلكتروني لتحديد المعلومات والأشخاص المتأثرين، وأتمت هذه المراجعة الشاملة في 25 نوفمبر 2025. وأُرسلت إشعارات بالبريد إلى الأشخاص الذين توفرت عناوينهم، وعُرضت خدمات مراقبة الائتمان وحماية الهوية على الأفراد المؤهلين.

وتقول الجهة أيضًا إنها راجعت سياساتها وإجراءاتها القائمة وعززتها. ولا تصف المصادر العامة الواقعة بأنها هجوم ببرمجيات الفدية، ولا تسمي مجموعة مسؤولة عنها، ولا تذكر أن جميع حقول البيانات التي يُحتمل أنها تأثرت قد نُسخت بصورة مؤكدة.

ينبغي لمتلقي الإشعارات مراجعة تقاريرهم الائتمانية وحساباتهم المالية والبيانات التوضيحية للتأمين الصحي بانتظام، لرصد أي حسابات أو معاملات أو خدمات أو مطالبات لا يتعرفون عليها. وينبغي إبلاغ المؤسسة المالية المعنية وشركة التأمين والسلطات، عند الاقتضاء، بأي نشاط مشبوه.

لا تقدم رقم الضمان الاجتماعي أو معلومات البطاقة أو كلمة المرور أو رمز التحقق الذي يُستخدم لمرة واحدة استجابةً لبريد إلكتروني أو رسالة أو مكالمة غير متوقعة. وينبغي التحقق من أي طلب يُزعم أنه صادر عن FYZICAL أو جهة أخرى باستخدام معلومات الاتصال الموجودة على الموقع الرسمي، لا الروابط أو الأرقام الواردة في الرسالة.