خرق بيانات Longhorn Imaging Center (2023)

تناول تقييم التحقق مجموعة من العناصر معًا، وهي اسم Longhorn Imaging Center، والنطاق longhornimaging.com، وسياق خدمات الرعاية الصحية في تكساس، وتوقيت الحادثة في يونيو 2023، والإشعار الرسمي الذي أشار إلى 100,643 فردًا، وحقول البيانات الصحية التي ربما أمكن الوصول إليها عبر بوابة المرضى. وعلى الرغم من أن بعض أدلة التسريبات ادعت وجود نحو 272,000 سطر من السجلات، لم يُستخدم هذا العدد مباشرةً بوصفه عدد الأفراد المتأثرين دون تكرار. واعتُمد العدد الأكثر تحفظًا، وهو 100,643، القريب مما ورد في الإشعار الرسمي، لتحديد عدد الأفراد المتأثرين. كما اقتصر الشرح على ما يلزم لتجنب الخلط بين إجمالي حجم السجلات وعدد الأفراد المتأثرين.

ينطوي خرق بيانات Longhorn Imaging Center على مخاطر للمستخدمين تتعلق بخصوصية البيانات الصحية والمصادقة والاحتيال الموجّه. فعند الجمع بين الاسم وتاريخ الميلاد والجنس والعنوان وسياق الرعاية الصحية، يمكن للمهاجمين صياغة رسائل تتمحور حول المواعيد أو نتائج التصوير الطبي أو التحقق من التأمين أو الفوترة أو تحديثات بوابة المرضى أو مشاركة المستندات. ولأن مستخدمي خدمات الرعاية الصحية يتوقعون أصلًا تلقي إشعارات المواعيد والمستندات، فقد تبدو هذه الرسائل أكثر إقناعًا. لذلك، ينبغي تقييم الحادثة ليس بوصفها خطرًا على بيانات التواصل فحسب، بل أيضًا بوصفها خطرًا على خصوصية البيانات الصحية ومصدرًا لمخاطر الهندسة الاجتماعية.

تُعدّ فئات البيانات الظاهرة في هذه الحادثة حساسة، لأن سياق الرعاية الصحية قد يقدم معلومات غير مباشرة عن مسار علاج الشخص أو علاقته بالمؤسسة أو إجراءات تأمينه. ولم يُوسَّع السجل على نحو يوحي بأنه يحتوي على أمراض محددة أو نتائج تصوير طبي أو محتوى سريري مفصل. ومع ذلك، فإن مجرد وجود حقول للمعلومات الصحية ومعلومات التأمين يوفر سياقًا كافيًا للتصيد الاحتيالي والاحتيال. وينبغي للمستخدمين ألا يثقوا تلقائيًا بالمتصلين الذين يعرفون أسماءهم الصحيحة أو تواريخ ميلادهم أو عناوينهم أو معلومات مؤسسات الرعاية الصحية التي يتعاملون معها، وأن يتحققوا من كل طلب عبر قناة مستقلة.

ينبغي للأفراد الذين قد تكون لهم صلة بـ Longhorn Imaging Center التحقق من وجود إشعارات غير معتادة في بوابات المرضى والبريد الإلكتروني وحسابات التأمين والحسابات المالية. ويجب التحقق مباشرةً عبر القنوات الرسمية المعروفة من الفواتير غير المتوقعة أو تحديثات التأمين أو تأكيدات المواعيد أو نتائج التصوير الطبي أو تنزيلات المستندات أو روابط إعادة تعيين كلمة مرور بوابة المرضى. وينبغي عدم مشاركة الرموز المستخدمة لمرة واحدة أو مستندات إثبات الهوية أو معلومات الدفع أو أرقام التأمين استجابةً لطلبات ترد عبر الهاتف. وعند تلقي رسائل تبدو صادرة عن مقدم رعاية صحية، ينبغي استخدام عنوان المؤسسة أو رقم هاتفها المعروف بدلًا من الروابط الواردة فيها.

من منظور المؤسسات، يبرز خرق بيانات Longhorn Imaging Center الحاجة إلى ضوابط إضافية على الوصول إلى بوابات المرضى والتقنيات الصحية التابعة لجهات خارجية. وعندما تُعدّ حقول مثل اسم المريض وتاريخ ميلاده وعنوانه ومعلومات تأمينه قد تعرضت للاختراق، لا يكون التحقق من الهوية باستخدام هذه المعلومات وحدها آمنًا. وينبغي لمؤسسات الرعاية الصحية تطبيق المصادقة متعددة العوامل ومراقبة الجلسات وتدقيق السلوك المشبوه في عمليات مثل الوصول إلى البوابة وتنزيل المستندات ودفع الفواتير والتحقق من التأمين وتغيير معلومات الاتصال بالمريض. كما ينبغي توعية الموظفين بأن رسائل الهندسة الاجتماعية المرتبطة بالصحة قد تكون شديدة الإقناع.

اقتصر نطاق سجل خرق بيانات Longhorn Imaging Center عمدًا على الجوانب التي تدعمها الأدلة. وأُبقي على عدد الأفراد المتأثرين عند 100,643، ولم تُسجَّل أعداد الصفوف الأعلى التي ظهرت في مواضع مختلفة بوصفها عدد المستخدمين. ولم يُوسَّع السجل على نحو يوحي بأنه يحتوي على بيانات بطاقات الدفع أو الحسابات المصرفية أو كلمات المرور أو أرقام الضمان الاجتماعي. ومع ذلك، فإن الجمع بين الاسم واسم العائلة وتاريخ الميلاد والعنوان والمعلومات الصحية ومعلومات التأمين يجعل هذه البيانات شديدة الحساسية. وحتى حجم صغير من سجلات البيانات الصحية قد تكون له عواقب أشد من قوائم التواصل الكبيرة.

قُيّم مستوى المخاطر الإجمالي بأنه حرج، لأن خرق بيانات Longhorn Imaging Center يجمع بين علاقات الرعاية الصحية وبيانات الهوية والتأمين. وتتمثل أكثر الخطوات العملية للمستخدمين الذين يبحثون عن معلومات بشأن خرق بيانات Longhorn Imaging Center في التحقق مباشرةً من بوابة المرضى الرسمية، والتحقق بصورة مستقلة من رسائل الصحة والتأمين غير المتوقعة، وتفعيل وسائل تحقق إضافية على حساب البريد الإلكتروني، والتعامل بحذر مع الروابط التي تطلب مدفوعات أو مستندات، وعدم اعتبار عمليات البحث التي تبدأ بمعلومات صحية جديرة بالثقة. وقد أُعدّ هذا الإشعار لتوضيح المخاطر التي تهدد خصوصية البيانات الصحية، دون مبالغة أو تقليل من خطورتها.

عند إجراء مقارنة إضافية بين المصادر، أُعيد إدراج حقل جنس المريض ضمن فئات البيانات، لأن سياق السجلات الصحية يدعمه أيضًا. ولم تُدرج تفاصيل مثل تاريخ العلاج أو اسم المؤسسة أو اسم الطبيب كفئة مستقلة، بل جرى تقييمها ضمن البيانات الصحية الشخصية التي توضح سياق الخدمة الصحية. وبهذا يحافظ السجل على عدد الأفراد المتأثرين الذي تدعمه الإشعارات الرسمية، مع عرض نطاق حقول البيانات المسرّبة بدقة أكبر دون تضليل المستخدم.