خرق بيانات Oglethorpe, Inc. لعام 2025

المصدر الأساسي هو إشعار بحادثة أمن بيانات من أربع صفحات، أُرسل نيابةً عن Oglethorpe في 31 أكتوبر 2025. وتشرح الرسالة مباشرةً كيفية اكتشاف الحادثة، والتحقيق الجنائي الرقمي، وتواريخ إتمام المراجعة، وأنواع المعلومات التي جرى الحصول عليها، والتدابير الأمنية المتخذة، والخدمات المعروضة على المتضررين.

المصدر الثاني هو بوابة خروقات البيانات التابعة لـ HHS OCR، التي تؤكد العدد ونوع المؤسسة وتصنيف الحادثة ومكان وجود المعلومات. أما المصدر الثالث فهو تقرير HIPAA Journal المنشور في 4 نوفمبر 2025، الذي يصف بصورة مستقلة الفترة التي حدث فيها الوصول إلى الأنظمة، ومراجعة الملفات، ونطاق الإخطار. وتتوافق المصادر بشأن هوية الشركة والتسلسل الزمني وفئات البيانات والعدد الإجمالي البالغ 92,332 شخصًا.

في 6 يونيو أو في تاريخ قريب منه، اكتشفت Oglethorpe حادثة أمنية وصل فيها طرف ثالث غير مصرح له إلى بيئة شبكتها. واستعانت المؤسسة بمتخصصين خارجيين في التحقيق الجنائي الرقمي لتأمين البيئة والتحقيق في مدى النشاط غير المصرح به. وتشير المراجعة التي وصفتها HIPAA Journal إلى أن الوصول حدث خلال الفترة بين 15 مايو و6 يونيو 2025.

انتهى التحقيق في 16 سبتمبر، وخلص إلى أن الطرف غير المصرح له حصل خلال الحادثة على معلومات تخص أفرادًا معينين. ثم راجعت Oglethorpe الملفات المتأثرة لتحديد الأشخاص وعناوينهم، وأتمّت هذا العمل في 23 أكتوبر. ويستند تاريخ الحادثة إلى أقدم نشاط تقني يمكن التحقق منه من خلال المصادر العامة.

بحسب الإشعار، شملت حقول البيانات التي يُحتمل أن يكون قد جرى الوصول إليها والحصول عليها الأسماء الأولى وأسماء العائلة وتواريخ الميلاد وأرقام رخص القيادة وأرقام الضمان الاجتماعي والمعلومات الطبية. وتُعد هذه المجموعة من البيانات شديدة الحساسية لأنها قد تساعد على سرقة الهوية وفتح حسابات احتيالية وتنفيذ عمليات احتيال موجّهة وإساءة استخدام الهوية الطبية.

لم تقل المؤسسة إن كل حقل من هذه الحقول كان موجودًا لدى جميع الأشخاص البالغ عددهم 92,332. لذلك، لا يحدد هذا السجل أعدادًا لفئات فرعية، ولا يضيف عناوين أو عناوين بريد إلكتروني أو كلمات مرور أو بطاقات دفع أو حسابات مصرفية أو معرّفات تأمين صحي لم يُفصح عنها. كما لا تثبت المصادر أن الحادثة كانت هجومًا ببرمجيات الفدية أو أن الملفات المسروقة نُشرت علنًا.

يمثل عدد الأشخاص المتضررين أو السجلات الذي نشره المصدر الرسمي النطاق المبلّغ عنه للحادثة. ولا يعني ذلك أن كل فئة من فئات البيانات المعلنة كانت تخص كل شخص. ويظهر العدد الإجمالي نفسه في التقارير العامة المستندة إلى الإخطار المقدّم إلى مكتب المدعي العام لولاية مين. وهو عدد الأشخاص المشمولين بالإخطار، وليس عدد الملفات أو السجلات الطبية أو الزيارات إلى المرافق أو عناصر البيانات الفردية.

Oglethorpe شبكة تقدم حلولًا إدارية للمراكز والعيادات والمستشفيات المتخصصة في الصحة النفسية وعلاج اضطرابات تعاطي المواد وخدمات الصحة السلوكية.

قالت المؤسسة إنها، بعد اكتشاف الحادثة، عملت مع متخصصين خارجيين لتأمين الشبكة، ومسحت محتويات الأنظمة المتأثرة وأعادت بناءها، وراجعت أو عدّلت السياسات والإجراءات والبرمجيات المتعلقة بأمن الأنظمة والخوادم. كما أخطرت Oglethorpe جهاز FBI، وقالت إنها تتعاون تعاونًا كاملًا مع التحقيق.

تقول رسالة 31 أكتوبر إنه لم يُعثر بحلول ذلك التاريخ على أدلة على حالات محددة من إساءة الاستخدام. ومع ذلك، حصل المتضررون، دون أي رسوم، على مراقبة الائتمان لدى مكتب واحد من مكاتب المعلومات الائتمانية لمدة اثني عشر شهرًا، وخدمة لتوفير تقرير ائتماني ودرجة ائتمانية، ومساعدة في حالات الاحتيال. وعدم وجود إساءة استخدام معروفة وقت الإخطار لا ينفي احتمال وقوع احتيال متعلق بالهوية أو بالرعاية الصحية لاحقًا.

ينبغي لمتلقي الإشعار تفعيل خدمة المراقبة المجانية خلال فترة التسجيل المحددة في الرسالة، ومراجعة التقارير الائتمانية والاستعلامات المرتبطة بفتح حسابات جديدة وسجلات خدمات الرعاية الصحية بانتظام. ويجب الإبلاغ عن أي حساب ائتماني أو إجراء طبي أو مطالبة تأمين غير مألوفة عبر قناة رسمية معروفة مسبقًا للمؤسسة المعنية.

قد يجعل الجمع بين أرقام الضمان الاجتماعي والمعلومات الطبية رسائل التصيد الاحتيالي الموجّهة مقنعة. وينبغي عدم فتح الروابط مباشرةً في الرسائل غير المتوقعة التي تدّعي أنها واردة من Oglethorpe أو من مرفق علاجي أو مكتب معلومات ائتمانية أو شركة تأمين؛ بل يجب بدء التواصل عبر موقع رسمي أو رقم جرى التحقق منه.