خرق بيانات North Texas Behavioral Health Authority لعام 2025

رصدت NTBHA نشاطًا غير مصرح به في أنظمتها الحاسوبية في نحو 15 أكتوبر 2025، وبدأت التحقيق في طبيعته. وأكدت المراجعة أن طرفًا ثالثًا غير مصرح له وصل إلى الشبكة خلال الفترة من 13 أكتوبر إلى 15 أكتوبر. ويُثبت وجود معلومات المرضى في الملفات المتأثرة، إلى جانب التقرير الاتحادي لدى HHS، وقوع خرق فعلي لبيانات الرعاية الصحية.

يصنّف HHS OCR الواقعة على أنها حادث اختراق/تقنية معلومات، ويحدد موقع المعلومات بأنه خادم شبكة، ونوع الجهة بأنها مقدم رعاية صحية. وقارنت HIPAA Journal السجل الاتحادي بالإشعار البديل، وأكدت فترة الوصول ومراجعة الملفات ونطاق الحادث الذي شمل 285,086 شخصًا.

يستند تاريخ الحادث إلى أقدم نشاط تقني يمكن التحقق منه عبر المصادر العامة. وقد اكتُشف النشاط بعد يومين، وانتهى الوصول في 15 أكتوبر. واستغرقت المؤسسة نحو ثلاثة أشهر لمراجعة محتويات الملفات وتحديد الأشخاص الذين ربما تأثروا؛ ولا يُستخدم تاريخ الاكتشاف بدلًا من تاريخ البداية الأسبق.

أكدت NTBHA في 7 يناير 2026 أن بعض الملفات احتوت على معلومات شخصية، وبدأت إرسال الإشعارات بالبريد في 6 مارس. ويحمل السجل لدى HHS تاريخ التقديم الاتحادي نفسه، ويورد إجماليًا قدره 285,086 شخصًا. وأظهرت تغطية مستقلة نُشرت في أبريل تطابق التواريخ ونطاق الحادث الواردين في إفصاح المؤسسة مع السجل لدى الجهة التنظيمية.

فئات البيانات التي أكدها الإفصاح العام هي المعلومات الشخصية والمعلومات الصحية المحمية وأرقام الضمان الاجتماعي لبعض الأشخاص. ولا تسرد المصادر أسماء أو عناوين أو تواريخ ميلاد أو تشخيصات أو علاجات أو بيانات تأمين أو تفاصيل حسابات. ولا تُعد أعداد الأشخاص أو حقول البيانات أو ادعاءات الجهات المهدِّدة غير المتحقق منها جزءًا من النطاق المعلن للحادث.

يؤكد مصطلح المعلومات الصحية المحمية أن الحادث شمل بيانات رعاية صحية تقع ضمن نطاق HIPAA، لكنه لا يعني أن حقلًا سريريًا بعينه كان موجودًا لكل ضحية. كذلك، لم تتأثر أرقام الضمان الاجتماعي إلا لدى الفئة الفرعية المعنية.

تنسق NTBHA علاجات وخدمات الصحة النفسية وتعاطي المواد في مقاطعات دالاس وإليس وهانت وكوفمان ونافارو وروكوول. وحتى مجرد ارتباط شخص بهذه الخدمات قد يكشف جانبًا من خصوصيته. ولا تذكر المصادر أن الحادث شمل تشخيصات محددة أو تفاصيل علاجية، لذا يوضح هذا السجل حساسية المعلومات دون استنتاج محتوياتها.

قد يؤدي الجمع بين المعلومات الشخصية والصحية ورقم الضمان الاجتماعي إلى زيادة مخاطر سرقة الهوية والاحتيال الموجّه وانتحال صفة مؤسسة للرعاية الصحية. وقالت NTBHA إنها لم تجد دليلًا على إساءة استخدام فعلية أو محاولة لإساءة الاستخدام عند إصدار الإشعارات. ولا يعني عدم وجود إساءة استخدام معروفة أن انكشاف المعلومات الحساسة لا ينطوي على مخاطر مستقبلية.

يمثل عدد الأشخاص المتأثرين أو السجلات الذي نشره المصدر الرسمي النطاق المُبلّغ عنه للحادث. ولا يعني أن كل فئة من فئات البيانات المعلنة تنطبق على كل شخص. فهذا هو نطاق المعلومات الصحية المحمية الذي أبلغت به المؤسسة الجهة الاتحادية. وليس عدد الفئة الفرعية التي شمل الحادث أرقام ضمانها الاجتماعي، ولا يُستخدم بوصفه إجماليًا مستقلًا لكل فئة من فئات البيانات.

تمثل الواقعة فترة وصول واحدة إلى شبكة NTBHA؛ ولا تُسجّل المقاطعات الست التي تخدمها المؤسسة كخروقات منفصلة. ولم تُنشر أعداد متحقق منها للأشخاص على مستوى المقاطعات أو البرامج، لذا لا يُقسَّم الإجمالي ولا يُضاعَف بناءً على افتراضات. ويجنب ذلك احتمال احتساب الأشخاص أكثر من مرة وإضافة حقول سريرية غير معلومة.

قدمت NTBHA مراقبة ائتمانية مجانية وحماية من سرقة الهوية للأشخاص الذين شمل الحادث أرقام ضمانهم الاجتماعي. وقالت المؤسسة إنها أعادت تعيين كلمات المرور، ووسعت استخدام المصادقة متعددة العوامل، ونشرت أدوات متقدمة للكشف عن التهديدات على الأجهزة الطرفية. وينبغي لمتلقي الإشعارات اتباع تعليمات التسجيل ومراعاة نطاق التأثر الشخصي الموضح في رسائلهم.

ينبغي للأشخاص مراجعة تقاريرهم الائتمانية والبيانات التوضيحية للتأمين الصحي بحثًا عن حسابات أو خدمات أو مطالبات غير مألوفة. كما ينبغي التحقق، عبر قناة رسمية معروفة، من أي طلبات غير متوقعة للدفع أو التحقق من الهوية تُقدَّم باسم NTBHA أو أحد مقدمي خدمات الصحة النفسية.