خرق بيانات Health Payment Systems لعام 2025

يوضح الإشعار الأمني الرسمي الصادر عن HPS التسلسل الزمني للحادث، والبيئة المتأثرة، وحقول البيانات التي ربما شملها، واستجابة الشركة. ويذكر أن شخصًا مجهولًا غير مخوّل ربما وصل إلى بعض معلومات المرضى أو حصل عليها.

يُدرج سجل HHS OCR المؤسسة نفسها بوصفها شريك أعمال، ويذكر أن إجمالي عدد المتأثرين بلغ 9,380 شخصًا، ويصنّف الواقعة على أنها حادث قرصنة/تقنية معلومات (IT) يتعلق بالبريد الإلكتروني. ويمثل هذا الرقم إجمالي عدد الأشخاص المتأثرين، ولا يثبت أيّ حقول البيانات كانت موجودة لكل شخص.

علمت HPS بوجود نشاط مشبوه يتعلق ببعض حسابات البريد الإلكتروني للموظفين في 27 يونيو 2025 أو نحو ذلك، واتخذت إجراءات لتأمينها. ثم حققت الشركة في طبيعة الواقعة ونطاقها بمساعدة متخصصين خارجيين في الأمن السيبراني.

خلص التحقيق إلى أن شخصًا مجهولًا وصل إلى بعض رسائل البريد الإلكتروني خلال الفترة الممتدة تقريبًا من 24 إلى 27 يونيو. لذلك، يمثل التاريخ المدرج في الكتالوج البداية التقريبية لفترة الوصول؛ ولا يكشف الإشعار عن وقت محدد، أو الطريقة المستخدمة، أو هوية الشخص المسؤول.

يسرد الإشعار الرسمي الأسماء والعناوين وتواريخ الميلاد والمعرّفات ومعرّفات الاشتراك والمعرّفات الشخصية للمشتركين. وبالنسبة إلى بعض الأشخاص، ربما شملت المعلومات أيضًا أرقام الضمان الاجتماعي والمعلومات الطبية ومعلومات التأمين الصحي.

اختلفت حقول البيانات من شخص إلى آخر. ورغم أن الحادث شمل حسابات البريد الإلكتروني للموظفين، فإن الإشعار لا يسرد عناوين البريد الإلكتروني للأفراد المتأثرين أو كلمات مرور حساباتهم على نحو منفصل ضمن حقول البيانات المكشوفة، لذا لا تُضاف هاتان الفئتان.

يمكن الجمع بين الاسم والعنوان وتاريخ الميلاد ورقم الضمان الاجتماعي لتسهيل سرقة الهوية، أو فتح حسابات بالاحتيال، أو الاحتيال الضريبي والائتماني. وقد تُستخدم أرقام الهوية والمشتركين أيضًا لإضفاء المصداقية على رسائل موجّهة إلى أشخاص بعينهم.

قد يُساء استخدام المعلومات الطبية ومعلومات التأمين الصحي في مطالبات زائفة عن خدمات، أو احتيال تأميني، أو رسائل تنتحل هوية مؤسسة للرعاية الصحية. ولا تثبت صحة معلومة عن المشترك أو صحته موثوقية المتصل أو المرسل.

تقول الشركة إنها أمّنت الحسابات المعنية، ونشرت أداة متقدمة للحماية من التهديدات والمراقبة، وراجعت سياسات الأمن القائمة، ونفّذت تدابير إضافية. كما أبلغت جهات إنفاذ القانون والجهات التنظيمية التي يتعين إبلاغها بالواقعة.

قالت HPS إنها سترسل إشعارات بالبريد إلى الأشخاص الذين أمكنها تحديد عناوينهم، وستوفر لهم مراقبة الائتمان والحماية من سرقة الهوية مجانًا. وينبغي التحقق من شروط الأهلية ومواعيد التسجيل في الإشعار الذي يتلقاه الشخص مباشرة.

ينبغي لمتلقي الإشعارات مراجعة نشاط حساباتهم المالية وتقاريرهم الائتمانية وكشوف شرح المزايا الصادرة عن التأمين الصحي، بحثًا عن حسابات أو معاملات أو خدمات لا يعرفونها. ويجب الإبلاغ عن أي بنود مشبوهة إلى البنك أو جهة التأمين الصحي أو مقدم الخدمة المعني عبر قنوات جرى التحقق منها بصورة مستقلة.

لا تقدّم رقم الضمان الاجتماعي أو معلومات التأمين أو كلمة المرور أو رمز التحقق استجابةً لمكالمة أو رسالة غير متوقعة. ويمكن لمن أُبلغوا بأن الحادث شمل أرقام ضمانهم الاجتماعي أن ينظروا أيضًا في تجميد ملفاتهم الائتمانية مجانًا أو تفعيل تنبيه للاحتيال.