خرق بيانات Harbin Clinic / NRS لعام 2024

يصف الإشعار الرسمي للمستهلكين الصادر بشأن Harbin Clinic دور NRS، والفترة التي حدث فيها الوصول، ونسخ الملفات، وحقول البيانات التي ربما شملها الحادث، والاستجابة له. ويذكر أن Harbin استعانت بخدمات NRS للحسابات المتأخرة عن السداد، وكذلك للمسائل المتعلقة بالإفلاس والدعاوى القضائية وتركات المرضى.

يسجل مكتب الحقوق المدنية التابع لوزارة الصحة والخدمات الإنسانية الأمريكية Harbin Clinic ضمن حادث اختراق/تقنية معلومات يتعلق بخادم شبكة ويشمل 176,149 شخصًا. ويفيد الإفصاح التنظيمي المقدَّم في ولاية مين بإخطار 210,140 شخصًا على مستوى البلاد، ولذلك لا يُعامل الإجماليان بوصفهما قياسين مكررين لنطاق واحد مطابق.

رصدت NRS نشاطًا مشبوهًا يتعلق بأنظمة تقنية المعلومات لديها في يوليو 2024 عقب انقطاع الشبكة. وخلص تحقيق جنائي رقمي إلى أن الوصول غير المصرح به بدأ في 5 يوليو واستمر حتى 11 يوليو، وأن ملفات ومجلدات معينة نُسخت خلال تلك الفترة.

واصلت NRS مراجعة الملفات، وأبلغت Harbin Clinic في فبراير 2025 بأن معلومات المرضى ربما كانت موجودة على الأنظمة المتأثرة. وتلقت Harbin قائمة بالأشخاص المتأثرين في مارس 2025، وبدأت إرسال الإشعارات بالبريد في 16 مايو 2025.

اختلفت حقول البيانات من شخص إلى آخر، وربما شملت الأسماء والعناوين وأرقام الضمان الاجتماعي وتواريخ الميلاد ومعلومات الحسابات المالية والمعلومات الطبية. وربما تعلقت البيانات التي لدى NRS بمرضى أُحيلت حساباتهم إلى تحصيل الديون، وضامني الحسابات، وأشخاص معنيين بمسائل قانونية معينة.

لا ينبغي افتراض أن قائمة فئات البيانات كاملة تنطبق على جميع الأشخاص البالغ عددهم 210,140. ولا تُدرج عناوين البريد الإلكتروني وكلمات المرور وأرقام بطاقات الدفع، لأن المصادر التي جرت مراجعتها لا تؤكد شمول هذه الحقول.

يحدد الإفصاح الخاص بالمستهلكين المقدَّم في ولاية مين عدد المتأثرين بالحادث على مستوى البلاد بـ210,140 شخصًا. وهو الإجمالي المؤكد الأوسع نطاقًا المرتبط بإشعارات المعلومات الشخصية التي أُرسلت في مختلف الولايات.

يشمل رقم HHS OCR البالغ 176,149 الأشخاص الذين أُبلغ عنهم بموجب القواعد الفيدرالية لخصوصية الرعاية الصحية. ولأن السجلين الرسميين يقيسان نطاقين تنظيميين مختلفين، فلا ينبغي تفسير الفرق بينهما على أنه عدد ملفات أو عدد حقول بيانات منفردة.

أفادت NRS بأنها أمّنت أنظمتها، وأخطرت جهات إنفاذ القانون، وأضافت تدابير للأمن السيبراني، وراجعت السياسات القائمة. ومنعت Harbin Clinic وصول NRS إلى أنظمتها حتى القضاء على التهديد، وفحصت شبكتها بحثًا عن مؤشرات اختراق.

ذكر الإشعار أنه لم يكن هناك دليل على سرقة هوية أو احتيال مرتبط بالحادث وقت صدوره. وعُرضت على المستلمين المؤهلين خدمة مراقبة الهوية لمدة 24 شهرًا؛ ولا يضمن أي من هذين الأمرين عدم حدوث إساءة استخدام لاحقًا.

ينبغي لمستلمي الإشعارات مراجعة حساباتهم المصرفية والائتمانية بانتظام بحثًا عن معاملات غير مألوفة أو حسابات جديدة، والتحقق من التقارير الائتمانية، والنظر في تجميد الائتمان مجانًا أو تفعيل تنبيه احتيال عند الاقتضاء. ويجب التحقق من أي تغييرات غير متوقعة في السجلات أو الفواتير الطبية مباشرةً مع مقدم الرعاية الصحية.

لا تشارك رقم الضمان الاجتماعي أو تفاصيل الحساب أو كلمة المرور أو رمز التحقق استجابةً لمكالمة أو رسالة غير متوقعة يدّعي صاحبها تمثيل Harbin Clinic أو NRS. وتحقق من صحة بيانات الاتصال بصورة مستقلة بالرجوع إلى الإشعار الرسمي قبل اتباع أي رابط أو إرسال مستندات.