خرق بيانات NYC Health + Hospitals لعام 2025

أعلنت NYC Health + Hospitals في 24 مارس 2026 أن معلومات شخصية ومعلومات صحية محمية انكشفت في حادث أمني. وخلص تحقيق جنائي رقمي إلى أن الطرف الثالث غير المخوّل ظل داخل الشبكة نحو أحد عشر أسبوعًا ونقل ملفات إلى خارجها دون تصريح. وبناءً على هذا البيان، يُصنَّف الحدث على أنه حصول على البيانات أكدته المؤسسة، وليس مجرد احتمال الاطلاع عليها.

يصنّف HHS OCR الحدث بوصفه حادث اختراق/تقنية معلومات (IT)، ويحدد موقع المعلومات بأنه خادم شبكة، ونوع الجهة بأنها مقدم رعاية صحية. وقارنت HIPAA Journal إفصاح المؤسسة بالسجل الفيدرالي، مما عزز ما ورد بشأن فترة الوصول، ونقل الملفات إلى خارج الشبكة، والفئات المتأثرة، والفئات العامة للبيانات. ولا تنسب المصادر الهجوم إلى مجموعة محددة من مجموعات برمجيات الفدية.

وصل المهاجم إلى الشبكة لأول مرة في 25 نوفمبر 2025. ورصدت المؤسسة نشاطًا مشبوهًا وأمّنت الأنظمة في 2 فبراير 2026، لكن التحقيق وجد أن الوصول استمر حتى 11 فبراير. ويستند تاريخ الحادث إلى أقدم نشاط تقني يمكن التحقق منه من خلال المصادر العامة.

أصدرت المؤسسة إعلانها العام في مارس 2026، بينما كانت تواصل مراجعة الملفات المتأثرة. ويحمل صف الحادث في سجل HHS تاريخ تقديم هو 24 مارس، ويشير إلى 1.8 مليون شخص. وقالت NYC Health + Hospitals إن الوصول الأولي ربما جاء عقب خرق أمني لدى مورّد خارجي لم يُذكر اسمه؛ ولا يذكر هذا السجل الأصلي اسم المورّد أو الأسلوب التقني في غياب تأكيد.

شملت المعلومات الطبية أرقام السجلات الطبية، ورموز الإعاقة، والتشخيصات، والأدوية، ونتائج الفحوص، والصور، وخطط العلاج. وتحتوي هذه الحقول على معلومات مفصلة وطويلة الأمد عن صحة الشخص. ولأن المؤسسة لم تقل إن كل حقل سريري ورد في كل ملف، فإن هذه الفئات تصف النطاق المحتمل للبيانات المتأثرة لدى كل فرد.

ربما شملت البيانات معلومات خطط التأمين الصحي ووثائقه، وأسماء شركات التأمين، ومعرّفات الأعضاء والمجموعات، ومعرّفات Medicaid أو Medicare أو غيرها من الجهات الحكومية التي تتحمل تكاليف الرعاية. وكانت معلومات الفوترة والمطالبات ضمن النطاق أيضًا. ويمكن استغلال هذه الحقول في مطالبات رعاية صحية احتيالية، وانتحال الهوية الطبية، وعمليات احتيال تأميني موجّهة.

شملت حقول البيانات الشخصية الأسماء، وأرقام الضمان الاجتماعي، وأرقام رخص القيادة أو غيرها من وثائق الهوية الحكومية، وأرقام تعريف دافعي الضرائب. وكانت أرقام التعريف الشخصية لحماية الهوية (PINs) الصادرة عن IRS وبيانات الموقع الجغرافي الدقيقة ضمن النطاق أيضًا. كما شمل الحادث أرقام بطاقات الائتمان أو الخصم، ومعلومات الحسابات المالية أو بيانات اعتمادها، مما يزيد مخاطر الاحتيال المتعلق بالضرائب والمزايا الحكومية وفتح حسابات جديدة.

احتوت الملفات على معلومات قياسات حيوية، مثل بصمات الأصابع والكفوف، وعلى بيانات اعتماد الحسابات على الإنترنت. ويمكن تغيير كلمات المرور، لكن خصائص القياسات الحيوية دائمة، مما يجعل العواقب أطول أمدًا. ولا تعني هذه القائمة الواسعة أن بيانات كل شخص شملت جميع الحقول.

أثر حادث منفصل لدى NADAP، الشريك المعني بتنسيق الرعاية، في مرضى NYC Health + Hospitals خلال الفترة نفسها تقريبًا. وشمل ذلك الحادث نحو 5,086 شخصًا في نوفمبر 2025، وأدى إلى انكشاف أسماء وتواريخ ميلاد وعناوين وأرقام Medicaid وأرقام ضمان اجتماعي ومعلومات سريرية تتعلق بالرعاية المنزلية.

اختلف حادث NADAP من حيث المؤسسة المعنية وتاريخ اكتشافه ونطاق الإخطار، لذلك لا يُضاف إلى خرق الشبكة الذي شمل 1.8 مليون شخص. ويمنع هذا الفصل احتمال احتساب الأشخاص مرتين ودمج حوادث منفصلة.

عرضت NYC Health + Hospitals خدمات مجانية لمراقبة الائتمان والحماية من سرقة الهوية لمدة 24 شهرًا للأشخاص الذين كانوا من المرضى أو العاملين خلال الفترة من 2020 حتى 2 فبراير 2026. وينبغي لمتلقي الإخطارات مراقبة تقارير الائتمان، والحسابات الضريبية وحسابات المزايا الحكومية، ونشاط البطاقات والحسابات المصرفية، والنظر في تجميد أمني للائتمان إذا كان رقم الضمان الاجتماعي ضمن البيانات المتأثرة.

ينبغي الإبلاغ عن أي خدمات أو مطالبات غير معروفة تظهر في كشوف الرعاية الطبية أو التأمين. وعلى الأشخاص الذين شمل الحادث معلومات قياساتهم الحيوية أو حساباتهم على الإنترنت توخي الحذر من طلبات التحقق غير المتوقعة، واستخدام كلمة مرور فريدة لكل حساب.