خرق بيانات Mid America Physician Services لعام 2024

المصدر الرئيسي لتفاصيل الواقعة هو إشعار واقعة أمن البيانات الصادر بشأن MAPS في 15 يوليو 2025. ويوضح أن المؤسسة اكتشفت واقعة في الشبكة، وحققت فيها بالتعاون مع متخصصين خارجيين في الأمن السيبراني، وتبين لها نتيجة ذلك انكشاف بعض معلومات المرضى. ويذكر الإشعار أيضًا أنه جرى إبلاغ جهات إنفاذ القانون.

يسجل القيد لدى HHS OCR شركة Mid America Physician Services بوصفها مقدّم رعاية صحية، ويصنف الواقعة ضمن حوادث الاختراق/تقنية المعلومات، ويحدد خادم الشبكة بوصفه موقع المعلومات؛ ويبلغ العدد الدقيق للمتأثرين 104,513. وتنشر بوابة أمن البيانات التابعة للمدعي العام في تكساس فئات بيانات الهوية والبيانات المالية المرتبطة بالواقعة. كما يؤكد الموقع الرسمي لـ Johnson County OB/GYN هوية الشركة، إذ يعرّف العيادة بأنها قسم من Mid America Physician Services LLC ويعرض شعار MAPS الرسمي.

اكتشفت MAPS واقعة في الشبكة أثّرت في أنظمة تقنية المعلومات لديها في 14 نوفمبر 2024 أو قرابة ذلك التاريخ. واستعانت فورًا بمتخصصين خارجيين في الأمن السيبراني لتقييم الواقعة واحتوائها ومعالجتها. ويستند تاريخ الواقعة إلى أقدم نشاط تقني يمكن التحقق منه من خلال المصادر العامة.

انتهت مراجعة الملفات قرابة 8 مايو 2025، وحددت أنواع معلومات المرضى التي انكشفت. ونشرت الشركة إشعارها العام في 15 يوليو، موضحةً أنه يجري إخطار الأشخاص المحتمل تأثرهم وتزويدهم بموارد للحماية. أما تاريخ 13 يناير 2025 الوارد في قيد HHS فهو تاريخ تقديم البلاغ الفيدرالي، ولا يُعدّ تاريخ بدء الواقعة.

تتكون القائمة العامة المؤكدة في إشعار MAPS من الأسماء والعناوين وتواريخ الميلاد ومعلومات العلاج الطبي ومعلومات الفوترة ومعلومات التأمين الصحي. ويضيف السجل التنظيمي في تكساس أرقام الضمان الاجتماعي والمعلومات المالية. ولا تُعدّ أعداد الأشخاص أو حقول البيانات أو ادعاءات الجهات المهاجمة التي لم يُتحقق منها جزءًا من النطاق المعلن للواقعة.

لم تقل المؤسسة إن مجموعة البيانات المعنية كانت متطابقة لدى جميع المرضى. وقد تتيح معلومات العلاج والتأمين إساءة استخدام الهوية الطبية، في حين قد تساعد أرقام الضمان الاجتماعي والمعلومات المالية على الاحتيال المتعلق بالهوية أو الحسابات. ويلتزم هذا السجل بما توصلت إليه المصادر بشأن انكشاف المعلومات، دون الادعاء بأن الملفات نُشرت علنًا أو بيعت أو حصلت عليها مجموعة مهاجمة محددة بالاسم.

يمثل عدد الأشخاص أو السجلات المتأثرة الذي نشره المصدر الرسمي النطاق المُبلّغ عنه للواقعة. ولا يعني ذلك أن كل فئة من فئات البيانات المعلنة كانت معنية لدى كل شخص. ويمثل هذا الرقم الأفراد المشمولين بالإخطار، وليس عدد الملفات أو الصفوف أو الحقول التي انكشفت. فقد تتأثر عدة عناصر من بيانات شخص واحد، بينما لا يتأثر لدى شخص آخر سوى جزء من القائمة المنشورة.

تعمل Mid America Physician Services من خلال أربعة أقسام سريرية: Johnson County OB/GYN وWomen's Care وWomen's Clinic of Johnson County وWomen's Health Associates. ولأن هذه العلامات التجارية تندرج ضمن واقعة MAPS نفسها، فلا تُنشأ لها سجلات خرق منفصلة. وتشمل آلية منع تكرار السجلات جميع الأسماء، بحيث تقود عمليات البحث عن أي عيادة إلى واقعة واحدة تم التحقق منها.

بعد اكتشاف الواقعة، تعاونت الشركة مع متخصصين خارجيين لتقييمها واحتوائها ومعالجتها، وأبلغت جهات إنفاذ القانون. وقالت MAPS إنها اتخذت خطوات إضافية للحد من احتمال وقوع حادثة مماثلة، لكنها لم تنشر التفاصيل التقنية لتلك الضوابط. ولا تختلق LeakData تدابير أمنية لم يُفصح عنها.

عند صدور الإشعار، لم يكن التحقيق قد رصد أي احتيال أو سرقة هوية ناتجة عن الواقعة. وتصف هذه النتيجة الوضع المعروف وقت الإخطار، ولا تضمن عدم إساءة استخدام بيانات الهوية أو البيانات الصحية أو المالية الحساسة في المستقبل. وقالت الشركة إنها تزود الأشخاص المتأثرين بموارد للحماية وتواصل عملها في مجال أمن المعلومات.

ينبغي لمتلقي الإشعارات الاستناد إلى حقول البيانات المحددة في الرسالة الخاصة بكل منهم، ومراجعة التقارير الائتمانية والحسابات المصرفية والفواتير وكشوف شرح المزايا الصادرة عن التأمين الصحي بانتظام. وإذا ظهرت خدمة طبية أو علاج أو مطالبة تأمينية أو مطالبة بتحصيل دين لا يعرفونها، فعليهم التواصل مع مقدّم الخدمة وشركة التأمين عبر بيانات الاتصال الرسمية المعروفة لديهم مسبقًا.

يمكن للأشخاص الذين شملت الواقعة أرقام ضمانهم الاجتماعي أو معلوماتهم المالية النظر في تفعيل تنبيهات الاحتيال المجانية وتجميد الائتمان. وينبغي عدم فتح الروابط مباشرةً إذا وردت ضمن مكالمات أو رسائل بريد إلكتروني أو طلبات دفع غير متوقعة تستخدم أسماء MAPS أو العيادات التابعة لها.