تسريب بيانات MMG Fusion في 2020

فئات البيانات التي تأكد وجودها في هذه الحادثة هي المواعيد، وتواريخ الميلاد، وعناوين البريد الإلكتروني، والجنس، والحالة الاجتماعية، والأسماء، وكلمات المرور، وأرقام الهواتف، والعناوين الفعلية. قد تكشف معلومات المواعيد عن سياق حساس يتعلق بالفترة التي تلقى فيها الشخص الرعاية الصحية أو بالعيادة التي تلقاها فيها. وعندما تجتمع حقول البريد الإلكتروني والهاتف والعنوان الفعلي، يمكن أن تصبح الرسائل الاحتيالية التي تتخذ شكل إشعارات مزيفة من العيادات، أو تأكيدات للمواعيد، أو تذكيرات بالدفع، أو تحديثات للوثائق أكثر إقناعًا. وتضيف حقول مثل تاريخ الميلاد والحالة الاجتماعية مخاطر أخرى عند استخدامها في أسئلة التحقق من الهوية أو محاولات مطابقة الملفات الشخصية.

أُفيد بأن حقل كلمة المرور يتضمن قيم تجزئة باستخدام bcrypt في مجموعة صغيرة من السجلات. ولا يعني ذلك أن كلمات المرور كانت بنص صريح؛ ومع ذلك، تظل كلمات المرور الضعيفة أو المعاد استخدامها عرضة للخطر. فإذا استخدم الشخص كلمة المرور نفسها للبريد الإلكتروني أو بوابة المرضى أو وسائل التواصل الاجتماعي أو حسابات أخرى مرتبطة بالرعاية الصحية، فقد يؤثر تسريب قديم في حساباته الحالية. ونظرًا إلى سياق مواعيد الرعاية الصحية، قد لا يقتصر المهاجمون على محاولات تسجيل الدخول إلى الحسابات؛ بل قد يصوغون رسائل تبدو كأنها صادرة عن خطوط دعم المرضى أو مراكز المواعيد أو أقسام التأمين، مستعينين بمعلومات اتصال حقيقية.

يُعتمد 20 ديسمبر 2020 تاريخًا للحادثة المتحقق منها، ويُعتمد 7 أغسطس 2021 تاريخًا لإضافة السجل وتغيير المصدر. ويبلغ عدد عناوين البريد الإلكتروني الفريدة 2,660,295. تقتصر فئات البيانات على معلومات المواعيد، وتواريخ الميلاد، وعناوين البريد الإلكتروني، والجنس، والحالة الاجتماعية، والأسماء، وقيم تجزئة كلمات المرور باستخدام bcrypt، وأرقام الهواتف، والعناوين الفعلية. ولا تشمل فئات البيانات المتحقق منها في هذا السجل أرقام الضمان الاجتماعي، أو بيانات بطاقات الدفع، أو الحسابات المصرفية، أو تفاصيل التشخيص، أو الوصفات الطبية، أو نتائج الفحوصات المخبرية، أو الملفات السريرية الكاملة.

من المهم فهم النطاق فهمًا صحيحًا. فوجود تطابق لا يعني أن التاريخ الطبي الكامل للمستخدم قد انكشف؛ لكن اجتماع بيانات المواعيد وبيانات الاتصال يشكل خطرًا جديًا على الخصوصية الصحية. تعمل الشركة في مجال خدمات إدارة عيادات الأسنان؛ ولذلك ينبغي تصنيف السجل ضمن أنظمة مواعيد طب الأسنان والتواصل مع المرضى، لا ضمن المواقع التقنية العامة. كذلك، لم يُبلّغ عن خطر مرتبط بكلمات المرور إلا في مجموعة صغيرة من السجلات؛ ومع ذلك، يُنصح باتخاذ إجراء أمني لاحتمال إعادة استخدام كلمات المرور في حسابات أخرى.

تشمل الفئات الأكثر عرضة للخطر المرضى الذين يستخدمون MMG Fusion وترتبط تعاملاتهم بخدمات طب الأسنان أو الخدمات السريرية، والأشخاص الذين تتضمن البيانات معلومات عن مواعيدهم، والمستخدمين الذين يستعملون عنوان البريد الإلكتروني نفسه لحسابات الرعاية الصحية. وقد يُستهدف المستخدمون الذين تتوافر أسماؤهم وأرقام هواتفهم وعناوينهم وتواريخ ميلادهم برسائل مزيفة تتعلق بالمواعيد، أو بإشعارات ديون مستحقة للعيادات، أو بالتأمين. ويمكن أن تسهم حقول مثل الجنس والحالة الاجتماعية في جعل الرسائل المخصصة تبدو أكثر إقناعًا. ولا يمكن تغيير هذه المعلومات بالسرعة نفسها التي يمكن بها تغيير بيانات البطاقات المالية؛ ولذلك قد تكون لها آثار طويلة الأمد على الخصوصية.

ينبغي أيضًا أن يتوخى الحذر موظفو عيادات الأسنان، والمرضى الذين يتواصلون كثيرًا مع مركز المواعيد، والأشخاص الذين يستخدمون عنوان البريد الإلكتروني نفسه لإجراءات حجز المواعيد نيابة عن أفراد الأسرة. فقد يتصل المهاجمون بالشخص مستعينين بمعلومات حقيقية عن هاتفه وعنوانه، ويطلبون تأكيد موعد، أو استكمال وثائق، أو اتباع تعليمات للدفع. وهناك خطر إضافي على الأشخاص الواردة بياناتهم ضمن المجموعة الصغيرة من السجلات التي تحتوي على قيم تجزئة كلمات المرور؛ فإذا كانت كلمة المرور نفسها مستخدمة في خدمات أخرى، فقد يتأثر أمان الحساب. ولذلك، ينبغي لمن يجد تطابقًا أن يضع في الحسبان مخاطر الاحتيال عبر الاتصالات وإعادة استخدام كلمات المرور معًا.

ينبغي للمستخدم الذي يجد تطابقًا في هذا السجل أن يتوخى، قبل كل شيء، الحذر من رسائل البريد الإلكتروني ورسائل SMS والمكالمات الهاتفية غير المتوقعة المتعلقة بالمواعيد والعيادات. وحتى إذا تضمنت الرسالة اسمًا حقيقيًا أو رقم هاتف أو عنوانًا أو سياقًا مرتبطًا بموعد، فلا ينبغي اعتبارها موثوقة. ويجب التحقق مباشرة عبر عنوان معروف للعيادة أو الخدمة من رسائل تأكيد المواعيد، أو إشعارات الدفع، أو تحديثات الوثائق، أو نماذج المرضى التي تحتوي على روابط. وعند تلقي طلبات عبر الهاتف، ينبغي عدم مشاركة تاريخ الميلاد أو رمز التحقق أو معلومات البطاقة أو كلمة المرور.

يُفضّل استخدام كلمة مرور فريدة لكل حساب يعتمد على كلمة مرور. وإذا كان المستخدم قد استعمل كلمة مرور الحساب المرتبط بـ MMG Fusion في خدمات أخرى، فعليه أن يبدأ بتغيير كلمات مرور بريده الإلكتروني وحساباته المهمة. وينبغي تفعيل المصادقة متعددة العوامل في الخدمات التي تدعمها، وإنهاء الجلسات النشطة، ومراجعة عنوان البريد الإلكتروني ورقم الهاتف المخصصين لاسترداد الحساب. ويجب إيلاء حساب البريد الإلكتروني حماية خاصة، لأن إشعارات المواعيد الطبية ورسائل استرداد الحسابات تصل إليه غالبًا.

في حوادث التسريب التي تشمل مواعيد الرعاية الصحية وبيانات الاتصال، يتمثل الخطر طويل الأمد في إمكانية استخدام البيانات في رسائل احتيالية حتى بعد مرور سنوات. ينبغي للمستخدمين اعتماد كلمات مرور فريدة لحسابات الصحة والتسوق ووسائل التواصل الاجتماعي والبريد الإلكتروني، وعدم مشاركة معلومات الهاتف والعنوان إلا مع الخدمات التي تحتاج إليها. ويُفضّل استخدام المصادقة متعددة العوامل لبوابات المرضى وقنوات التواصل مع العيادات، ومراجعة حسابات المواعيد القديمة دوريًا. كما ينبغي تقليل البيانات الشخصية ومعلومات الاتصال المسجلة في الحسابات غير المستخدمة إلى الحد الأدنى.

من منظور المؤسسات، توضح هذه الحادثة أهمية حصر البيانات، والتحكم في الوصول، وجودة تخزين كلمات المرور في أنظمة مواعيد طب الأسنان والرعاية الصحية. فسجلات المواعيد ليست مجرد معلومات في تقويم؛ إذ تنطوي على معلومات حساسة عندما تقترن بهوية المريض وقنوات الاتصال وسياق الرعاية الصحية. أما بالنسبة إلى المستخدمين، فتتمثل الحماية المستمرة في تأمين حساب البريد الإلكتروني جيدًا، والحذر من الاحتيال الهاتفي، والتحقق من رسائل العيادات عبر قناة منفصلة، والتوقف تمامًا عن إعادة استخدام كلمات المرور.

يشير وجود تطابق في هذا السجل إلى أن عنوان البريد الإلكتروني من بين العناوين المتحقق منها في مجموعة بيانات MMG Fusion. ولا يثبت التطابق وجود رقم الضمان الاجتماعي، أو بيانات بطاقة الدفع، أو السجل الطبي الكامل، أو معلومات التشخيص التفصيلية في مجموعة البيانات هذه. الحقول المتحقق منها هي معلومات المواعيد، وتاريخ الميلاد، والبريد الإلكتروني، والجنس، والحالة الاجتماعية، والاسم، والهاتف، والعنوان الفعلي، إضافة إلى قيم تجزئة كلمات المرور باستخدام bcrypt لمجموعة صغيرة. وينبغي للمستخدم فهم هذا الحد فهمًا صحيحًا، والتركيز على مخاطر التواصل المتعلق بالصحة وإعادة استخدام كلمات المرور معًا.

تتمثل الخطوة الأولى في تحديد الحسابات التي تستخدم البريد الإلكتروني نفسه وأنماطًا متشابهة لكلمات المرور. وبعد ذلك، ينبغي اعتماد كلمات مرور فريدة لحساب البريد الإلكتروني، وبوابات المرضى، وحسابات الرعاية الصحية، وحسابات التواصل الاجتماعي، وتفعيل المصادقة متعددة العوامل، وفحص الجلسات النشطة. ويجب التحقق عبر قناة منفصلة من الروابط الواردة في الرسائل المتعلقة بالمواعيد أو العيادات أو التأمين أو الدفع. يعرض هذا السجل حقول البيانات المتحقق منها دون مبالغة، ويقدم للمستخدم خطوات عملية لحماية الخصوصية الصحية، وتأمين الاتصالات، وإدارة كلمات المرور.