خرق بيانات OSC في كونيتيكت عام 2025

يربط الإشعار الرسمي المؤرشف الصادر عن Orthopaedic Specialists of Connecticut بين الوصول إلى الشبكة في 2 مارس، وإجراءات الاستجابة التي بدأت في اليوم نفسه، وحقول البيانات التي أفصحت عنها المؤسسة، باعتبارها عناصر لحادث واحد. ويؤكد سجل HHS OCR هوية مقدم الرعاية الصحية في كونيتيكت، وتاريخ الإبلاغ في 23 أبريل 2025، والعدد الإجمالي البالغ 22,541 شخصًا.

ويؤيد ملخص مستقل للحادث المعلومات المتعلقة بالمؤسسة نفسها وتاريخ الحادث وعدد الأشخاص وفئات البيانات. ويمثل تاريخ الوصول الأولي، واكتمال مراجعة نطاق الحادث في أبريل، وإشعار المستهلكين المؤرخ في 23 أبريل مراحل مختلفة، ولا تُختزل في تاريخ نشر واحد.

تمكن طرف غير مصرح له من الوصول إلى بيئة شبكة OSC في 2 مارس. وبعد اكتشاف الحادث، أمّنت المؤسسة الشبكة واستعانت بشركة متخصصة في الاستجابة للحوادث والتحقيق في الأدلة الرقمية لتحديد نطاق النشاط غير المصرح به.

خلص التحقيق إلى أن المتسلل ربما حصل على بيانات معينة. ولا يكشف الإشعار العام عن طريقة الوصول الأولي، أو نقطة الضعف التقنية التي استُغلت، أو مدة استمرار الوصول خلال ذلك اليوم؛ لذلك لا يذكر هذا السجل أي طريقة هجوم غير مؤكدة.

اختلفت المعلومات المحتمل تأثرها بحسب الشخص، وشملت الأسماء الأولى وأسماء العائلة، وتواريخ الميلاد، وأرقام الضمان الاجتماعي، وأرقام تعريف التأمين الصحي، والمعلومات الطبية. ويسرد الإشعار الرسمي هذه الحقول صراحةً بوصفها معلومات يُحتمل أنها تعرضت للكشف.

تقول المؤسسة إن مجموعة الحقول المتأثرة اختلفت من شخص إلى آخر. ولا تُدرج عناوين البريد الإلكتروني أو كلمات المرور أو العناوين البريدية أو بطاقات الدفع أو الحسابات المالية، لأن الإشعار الرسمي بالحادث لا يؤكد تأثر هذه الفئات.

قد يؤدي كشف أرقام الضمان الاجتماعي إلى جانب معلومات التأمين الصحي والمعلومات الطبية إلى زيادة خطر سرقة الهوية، أو تقديم مطالبات احتيالية مقابل خدمات رعاية صحية، أو الاحتيال التأميني. ويصعب تغيير بعض هذه المعرّفات، مما يجعل المراقبة على المدى الطويل إجراءً مناسبًا.

قد يصوغ شخص يعرف تفاصيل حقيقية عن علاج أو تأمين رسالة أكثر إقناعًا يدّعي فيها تمثيل OSC أو طبيب أو شركة تأمين. ولا تثبت حيازته لهذه التفاصيل أنه مخوّل بذلك، وينبغي التحقق من الطلبات غير المتوقعة عبر قناة مستقلة.

أمّنت OSC شبكتها، وعملت مع متخصصين خارجيين في التحقيق في الأدلة الرقمية، وقالت إنها راجعت تدابير الحماية التقنية وعززتها. وبعد استكمال مراجعة نطاق الحادث، أرسلت المؤسسة إشعارات خطية إلى الأشخاص الذين ربما شمل الحادث معلوماتهم.

عرضت المؤسسة على الأفراد المؤهلين خدمات مجانية لمراقبة الائتمان والحماية من سرقة الهوية لمدة 12 شهرًا. وذكر إشعارها المؤرخ في 23 أبريل أنها لم تتلقَّ أي بلاغات عن إساءة استخدام أو سرقة هوية مرتبطة بالحادث؛ ولا يضمن هذا التصريح عدم حدوث إساءة استخدام لاحقًا.

ينبغي لمتلقي الإشعارات مراجعة تقاريرهم الائتمانية وحساباتهم المالية وكشوف التأمين الصحي بانتظام بحثًا عن حسابات أو معاملات أو خدمات أو مطالبات لا يعرفونها. وينبغي إبلاغ المؤسسة المالية أو مقدم الرعاية الصحية أو شركة التأمين المعنية بأي بنود مشبوهة.

لا تشارك رقم الضمان الاجتماعي أو المعلومات الصحية أو كلمة المرور أو رمز تحقق يُستخدم لمرة واحدة استجابةً لبريد إلكتروني أو رسالة أو مكالمة غير متوقعة. وينبغي التحقق من أي طلب يدّعي أنه صادر عن OSC باستخدام بيانات الاتصال المنشورة على الموقع الرسمي للمؤسسة، لا الروابط أو الأرقام الواردة في الرسالة.