خرق بيانات HealthEquity 2024
خرق بيانات HealthEquity في 2024 شمل حسابًا مخترقًا تابعًا لشريك أعمال، استُخدم للوصول إلى مساحة تخزين غير مهيكلة عبر الإنترنت خارج الأنظمة الأساسية. ويورد إفصاح مقدَّم إلى جهة تنظيمية تاريخ 9 مارس 2024 بوصفه التاريخ المعروف للخرق. تلقت HealthEquity تنبيهًا بشأن نشاط غير معتاد في 25 مارس، واستمرت أعمال التحليل الجنائي الرقمي حتى 10 يونيو، ثم أكدت في 26 يونيو أن الخرق شمل معلومات مرتبطة ببعض المتلقين.
لم يُؤكَّد العدد الإجمالي للمتأثرين، لذا لا يمكن تحديد درجة الخطورة من عدد السجلات وحده.
أنواع البيانات المنكشفة
١ من الأنواع الحساسة8- Payment card information excluding payment-card numbers and HealthEquity debit-card information
- الأسماء
- العناوين الفعلية
- أرقام الهواتف
- Employee IDs
- معلومات أصحاب العمل
- أرقام الضمان الاجتماعي
- Dependents’ general contact information
حول خرق البيانات هذا
بحسب الإفصاح المقدَّم إلى SEC، رُصد سلوك غير معتاد صادر عن جهاز الشريك المخصص للاستخدام الشخصي، واستخدم طرف غير مخوَّل حساب الشريك للوصول إلى معلومات، ونُقلت بعض المعلومات إلى خارج أنظمة الشريك. ولم يُعثر على أي شيفرة خبيثة أو انقطاع في الخدمة على أنظمة HealthEquity. وقالت الشركة إنها عطّلت الحسابات والجلسات، وحظرت عناوين IP، وفرضت إعادة تعيين كلمات المرور على مستوى المورّد بأكمله.
يشير العدد البالغ نحو 4.3 مليون شخص يُحتمل تأثرهم إلى الأشخاص المشمولين بالإشعارات، وليس إلى عدد الحسابات أو السجلات المحلية أو رسائل البريد الإلكتروني أو كلمات المرور. ويسرد نموذج الإشعار الرئيسي الأسماء والعناوين وأرقام الهواتف ومعرّفات الموظفين وأصحاب العمل وأرقام الضمان الاجتماعي ومعلومات الاتصال العامة للأشخاص المُعالين وبعض معلومات بطاقات الدفع، باستثناء أرقام بطاقات الدفع ومعلومات بطاقات الخصم المباشر الخاصة بـ HealthEquity. واختلفت حقول البيانات باختلاف المتلقي؛ أما التشخيصات والوصفات الطبية وأنواع الخدمات وأرقام خطط التأمين الصحي، فتتطلب أدلة منفصلة من إشعارات خاصة بكل عميل.
لا توجد محليًا أي مجموعة بيانات على مستوى الأفراد. ولا تربط هذه الواقعة أي شخص بحساب لدى HealthEquity أو WageWorks، أو بصفة موظف أو عضو أو شخص مُعال، أو بصاحب عمل معيّن، أو بحالة صحية، أو بمعلومات دفع. ويجب الحفاظ على خصوصية بيانات الضمان الاجتماعي والمُعالين وأصحاب العمل والصحة والدفع، ولا ينبغي أن يعتمد على حقول البيانات وشروط الخدمة الواردة في الإشعارات إلا متلقوها المباشرون، كلٌّ على إشعاره الخاص.
منهجية التحقق والتحرير
تقارن LeakData اسم الحادثة وتاريخها وعدد السجلات المتأثرة وأنواع البيانات المنكشفة بالمصادر المتاحة. لا تُعرض الحقول التي لم يتم التحقق منها على أنها حقائق، وتُحدَّث السجلات عند توفّر أدلة جديدة.
الإبلاغ عن معلومات ناقصة أو غير صحيحة
