خرق بيانات Mainline Health Systems لعام 2024

المصدر الأساسي هو إخطار حادثة أمن البيانات الصادر بشأن Mainline Health Systems Inc. وتقول المؤسسة إن الحادثة وقعت في 10 أبريل 2024 أو نحو ذلك التاريخ، وإنها أخطرت جهات إنفاذ القانون الفيدرالية، واستعانت بمختصين خارجيين في الأمن السيبراني، وأجرت مراجعة يدوية لتحديد مدى تعرض المعلومات الموجودة على شبكتها للاختراق.

يؤكد الإبلاغ المقدم إلى مكتب المدعي العام في ولاية مين أن عدد المتأثرين بلغ 101,104 أشخاص، وأن تاريخ إخطار المستهلكين كان 20 يونيو 2025. ويورد HHS OCR العدد الإجمالي نفسه، ويصنّف Mainline بوصفها مقدم رعاية صحية، والحادثة بوصفها حادثة اختراق/تقنية معلومات، وموقع المعلومات بوصفه خادم شبكة. وأجرى HIPAA Journal مقارنة مستقلة بين الرسالة والإبلاغ المقدم إلى الولاية والنطاق الوارد في السجل الفيدرالي.

تعرضت Mainline للحادثة الأمنية في 10 أبريل 2024 أو نحو ذلك التاريخ، وبدأت التحقيق فور علمها بالمشكلة. ويستند تاريخ الحادثة إلى أقدم نشاط تقني يمكن التحقق منه عبر المصادر العامة. ولا تحدد المصادر تاريخًا أسبق لبدء الوصول أو يومًا معينًا لانتهائه، لذا لا يفترض هذا السجل فترة اختراق لا تدعمها الأدلة.

استكملت المؤسسة تحقيقها التقني بمراجعة يدوية لتحديد الملفات المتأثرة والأشخاص الذين يلزم إخطارهم. وفي 21 مايو 2025، خلصت إلى أن بعض الملفات تحتوي على معلومات شخصية وصحية محمية. وأُرسلت الرسائل بالبريد في 20 يونيو؛ وتمثل الفترة التي بلغت نحو أربعة عشر شهرًا الوقت المستغرق في التحقيق ومطابقة البيانات، لا مدة وصول المهاجم إلى الشبكة.

تسرد الرسالة الرسمية الأسماء الكاملة مع تواريخ الميلاد، وأرقام الضمان الاجتماعي، وأرقام رخص القيادة الأمريكية، وأرقام الحسابات المالية ومعلومات الوصول إليها، وأرقام بطاقات الدفع ومعلومات الوصول إليها، وأرقام السجلات الطبية، ومعرّفات المرضى، وأرقام Medicaid، وأرقام وثائق التأمين الصحي والمجموعات التأمينية.

تشمل الحقول المتعلقة بالصحة التشخيصات الطبية، والعلاجات أو الإجراءات الطبية، والمعلومات السريرية، والوصفات الطبية، وأسماء مقدمي الرعاية ومواقعهم. ولا تُعد أعداد الأشخاص أو حقول البيانات غير المتحقق منها، ولا ادعاءات الجهات المهاجمة غير المتحقق منها، جزءًا من النطاق المعلن للحادثة. وينص الإخطار صراحةً على أن عناصر البيانات لم تتأثر جميعها لدى كل فرد، ولذلك لا تُنسب المجموعة نفسها من البيانات إلى جميع الأشخاص البالغ عددهم 101,104.

يمثل عدد الأشخاص المتأثرين أو السجلات المتأثرة الذي نشره المصدر الرسمي النطاق المبلّغ عنه للحادثة. ولا يعني ذلك أن كل فئة من فئات البيانات المذكورة شملت كل شخص. وهو يمثل الأفراد الذين أُخطروا بسبب الحادثة، وليس عدد الملفات أو صفوف قواعد البيانات أو الخدمات الطبية أو حقول البيانات. وقد تكون للشخص الواحد معلومات ضمن عدة فئات.

تصف المصادر ملفات الشبكة بأنها تأثرت والمعلومات بأنها تعرضت للاختراق، لكنها لا تشير إلى نشرها علنًا أو بيعها أو إسناد الحادثة إلى جهة محددة بالاسم. ولا تُعد أعداد الأشخاص أو حقول البيانات غير المتحقق منها، ولا ادعاءات الجهات المهاجمة غير المتحقق منها، جزءًا من النطاق المعلن للحادثة.

بعد علمها بالحادثة، أخطرت المؤسسة جهات إنفاذ القانون الفيدرالية واستعانت بمختصين خارجيين في الأمن السيبراني يتولون عادةً التحقيق في هذا النوع من الحوادث. وخضعت محتويات الملفات لمراجعة يدوية إلى جانب التحقيق التقني. وقالت Mainline إنها لم تكن على علم، وقت الإخطار، بأي احتيال متعلق بالهوية أو احتيال مالي ناتج عن الحادثة.

عُرضت خدمة مجانية لمراقبة الائتمان على الأشخاص الذين تأثرت أرقام ضمانهم الاجتماعي. وقدمت Mainline أيضًا موارد تفصيلية بشأن تنبيهات الاحتيال، وتجميد الائتمان، ومراجعة التقارير الائتمانية، والحماية من سرقة الهوية الطبية. وعدم وجود إساءة استخدام معروفة لا يلغي المخاطر المستقبلية المرتبطة ببيانات الهوية والصحة التي تحتفظ بقيمتها على المدى الطويل.

ينبغي لمتلقي الإخطار الذين شملت الحادثة أرقام ضمانهم الاجتماعي تفعيل خدمة المراقبة المعروضة قبل الموعد النهائي المحدد. كما ينبغي مراجعة التقارير الائتمانية، والكشوف المالية، وحركة بطاقات الدفع، وكشوف تفاصيل مزايا التأمين الصحي بانتظام، بحثًا عن حسابات أو معاملات أو خدمات طبية أو وصفات أو مطالبات تأمينية غير مألوفة.

إذا تأثرت تفاصيل الحساب أو البطاقة، فتواصل مع البنك أو الجهة المصدرة للبطاقة عبر قناة رسمية لتحديد ما إذا كان الاستبدال مناسبًا. وينبغي التحقق من الخدمات السريرية غير المعروفة لدى مقدم الرعاية وشركة التأمين، والتعامل بحذر مع الرسائل غير المتوقعة التي تستخدم اسم Mainline.