خرق بيانات GrayRobinson لعام 2025

المصدر الأساسي هو إشعار الحادثة الصادر عن GrayRobinson نفسه. ويذكر المكتب صراحةً الفترة التي حدث فيها الوصول، وتاريخ اكتشافه، وخطوات الاستجابة، ونتيجة مراجعة الملفات، وحقول البيانات التي اختلفت من شخص إلى آخر. ويؤكد الإشعار أن الحادثة تجاوزت مجرد حركة مرور شبكية مشبوهة، إذ ينص على أن الشخص أو الأشخاص الذين وصلوا إلى الشبكة دون تصريح ربما وصلوا إلى الملفات المتأثرة أو سحبوها.

يدرج التقرير الحالي للمدعي العام لولاية إنديانا عن خروقات البيانات منذ بداية العام اسم GrayRobinson P.A.، ويحدد 5 مارس 2025 تاريخًا لبدء الخرق، و24 أبريل 2026 تاريخًا للإخطار، ويورد تضرر 234 من سكان إنديانا و80,383 شخصًا إجمالًا. وبشكل منفصل، تدرج بوابة مكتب الحقوق المدنية في HHS المكتب بصفته شريك أعمال، وتسجل تضرر 54,131 شخصًا، وتصنف الحدث بوصفه حادثة اختراق/تقنية معلومات (IT) شملت خادم شبكة. وبذلك، يقدم إشعار المؤسسة وتقرير الجهة التنظيمية في الولاية والسجل الفيدرالي الصحي تأكيدًا متكاملًا للحادثة.

يذكر البيان الرسمي الصادر عن GrayRobinson أن الوصول غير المصرح به إلى شبكته وقع بين 5 مارس و24 مارس 2025. واكتشف المكتب الحادثة في 24 مارس أو قريبًا من ذلك التاريخ. وخلص التحقيق إلى أن بعض الملفات ربما جرى الوصول إليها أو سحبها خلال تلك الفترة، لكن الإشعار العام لا يحدد الثغرة التي استُغلت، أو طريقة الوصول الأولي، أو الجهة المسؤولة، أو ما إذا كانت أي ملفات قد نُشرت لاحقًا.

لا تصف المصادر المتاحة للجمهور الحدث بأنه هجوم ببرامج الفدية، ولا تنسبه إلى مجموعة تهديدات محددة بالاسم. ويستخدم تصنيف HHS مصطلحي حادثة اختراق/تقنية معلومات (IT) وخادم شبكة. لذلك، يصف هذا السجل اختراقًا مؤكدًا للشبكة واحتمال الوصول إلى ملفات أو سحبها، دون إضافة أسلوب غير متحقق منه، أو مطالبة بفدية، أو ادعاء بنشر الملفات على الويب المظلم.

تقول GrayRobinson إن المعلومات اختلفت بحسب الشخص، وربما شملت واحدًا أو أكثر مما يلي: الاسم الأول واسم العائلة، وتاريخ الميلاد، ورقم الضمان الاجتماعي، ورقم رخصة القيادة، وبيانات وثيقة هوية صادرة عن الولاية أو عن جهة حكومية، ومعلومات الحسابات المالية، والمعلومات الطبية، ومعلومات التأمين الصحي. ولا يذكر الإشعار أن ملفات كل شخص متضرر احتوت على جميع هذه الفئات.

قد يؤدي الجمع بين رقم الضمان الاجتماعي وبيانات وثيقة هوية حكومية إلى زيادة خطر الاحتيال عند فتح الحسابات أو انتحال الشخصية. وقد تُستخدم معلومات الحسابات المالية في الاحتيال على الحسابات، بينما قد تتيح التفاصيل الطبية والتأمينية إساءة استخدام الهوية الطبية أو صياغة رسائل موجهة شديدة الإقناع. ولأن الإشعار الفردي يحدد الحقول التي تخص مستلمه، ينبغي الاعتماد على تلك الرسالة المحددة بدلًا من القائمة العامة.

في التقرير الحالي للمدعي العام لولاية إنديانا المتاح للاطلاع عليه، يُذكر 80,383 صراحةً بوصفه إجمالي عدد المتضررين، و234 بوصفه عدد المتضررين من سكان إنديانا. وكانت نسخة أقدم من بيانات إنديانا تعرض إجماليًا قدره 65,113، لكن التقرير الحالي يرفع العدد المسجل إلى 80,383. لذلك، يعتمد هذا السجل أحدث إجمالي عام صريح صادر عن الجهة التنظيمية، لا القيمة السابقة.

أما العدد 54,131 الوارد في بوابة HHS، فهو العدد الذي أُبلغ عنه بصورة منفصلة ضمن البرنامج الفيدرالي للإبلاغ عن الخروقات بموجب HIPAA، ويقل عن إجمالي إنديانا بمقدار 26,252. فتقرير HHS يتعلق بالرقابة الصحية، بينما يوفر تقرير إنديانا عمودًا منفصلًا للإجمالي العام. ولأن المصادر لا توضح ما إذا كان الفرق يعود إلى نطاق الأشخاص المشمولين، أو التزامات الإبلاغ، أو توقيت التحديث، فلا تُجمع القيمتان، ولا يحل عدد HHS محل الإجمالي على مستوى البلاد.

يقول المكتب إنه أمّن شبكته، وأبلغ جهات إنفاذ القانون بالحدث، وتعاون مع متخصصين خارجيين في الأمن السيبراني لديهم خبرة في الاستجابة للحوادث. ثم أجرى مراجعة تفصيلية للمعلومات التي يُحتمل أنها تأثرت. وبعد إكمال تلك المراجعة في 13 أبريل 2026، بدأت GrayRobinson في 24 أبريل إخطار الأشخاص الذين ربما كانت معلوماتهم ضمن الملفات.

يذكر نموذج للإشعار أن المكتب لم يكن لديه، حتى تاريخ الإشعار، أي دليل على استخدام المعلومات في احتيال مالي أو سرقة هوية، وأنه عرض على المستلمين المؤهلين خدمة مراقبة مجانية عبر Experian IdentityWorks. ولا يضمن هذا التصريح عدم وقوع إساءة استخدام مستقبلًا. وتقول GrayRobinson أيضًا إنها تواصل تقييم ممارساتها وضوابطها الداخلية وتعديلها، إلا أن الإشعار العام لا يصف التغييرات التقنية.

ينبغي للمستلم أولًا مراجعة الرسالة لمعرفة حقول البيانات التي تخصه والموعد النهائي للتسجيل في أي خدمة مجانية. وإذا شملت الحادثة رقم الضمان الاجتماعي أو مُعرِّفًا حكوميًا، فعليه مراجعة التقارير الصادرة عن مكاتب الائتمان الثلاثة والنظر في تفعيل تنبيه احتيال مجاني أو تجميد ائتماني. وإذا وردت معلومات حساب مالي في الرسالة، فينبغي مراقبة المعاملات والتغييرات في بيانات الاتصال.

يمكن للأشخاص الذين تذكر رسائلهم معلومات طبية أو معلومات تأمين صحي مراجعة كشوف شرح المزايا التأمينية وبوابات المرضى للتحقق من وجود خدمة أو إجراء أو مقدم رعاية لا يعرفونه. لا تشارك كلمة مرور أو بيانات دفع أو رمزًا يُستخدم لمرة واحدة استجابةً لرسالة غير متوقعة تستخدم اسم GrayRobinson. رقم خط الاستجابة للحادثة هو 844-403-4596، وهو متاح من الاثنين إلى الجمعة من 9:00 صباحًا إلى 6:30 مساءً بالتوقيت الشرقي؛ تحقق من الرقم في الإشعار الرسمي الحالي للمكتب قبل الاتصال.