خرق بيانات ParkTree Community Health Center لعام 2024

المصدر الأساسي هو الرسالة الموجهة إلى المستهلكين بتاريخ 21 أغسطس 2024، الواردة في سجل النائب العام لولاية كاليفورنيا SB24-590522. وتؤكد الرسالة انكشاف البيانات في 7 فبراير، والحقول المتأثرة، والتحسينات الأمنية، وخط المساعدة، وعدم شمول بيانات SSNs ورخص القيادة. ويعرّف التوقيع الجهة المقدمة للرعاية بأنها Pomona Community Health Center التي تزاول نشاطها باسم (dba) ParkTree Community Health Center.

المصدر الثاني هو القيد الرسمي لدى HHS/OCR بتاريخ 21 أغسطس 2024، الذي يذكر 40,964 شخصًا، ويحدد نوع الجهة بأنها مقدم رعاية صحية، ونوع الواقعة بأنها حادثة اختراق/IT، والموقع المتأثر بأنه خادم شبكة. يضع مصدر متاح للعامة بشأن خرق البيانات رابطًا إلى المستند المودع لدى سلطات كاليفورنيا، لكن عنوانه الثانوي المتعلق بـ SSN وروايته التي تذكر 1 فبراير يتعارضان مع الرسالة الرسمية؛ لذا يعطي هذا السجل الأولوية للوثيقة التنظيمية الأصلية.

وفقًا لرسالة الإخطار الفردي من ParkTree، ربما انكشفت بيانات صحية شخصية لجهة مجهولة في 7 فبراير. وقالت الجهة المقدمة للرعاية إنها أبلغت السلطات المختصة بالواقعة، واتخذت خطوات لتعزيز أمن الشبكة وتقليل خطر تكرارها، وإنها تراجع سياساتها وإجراءاتها الأمنية وتحدّثها حسب الحاجة.

لا تشرح الرسالة المنشورة كيف تمكّن الشخص غير المخوّل من الدخول أول مرة، أو أي حساب أو ثغرة استُخدمت، أو مدة استمرار الوصول، أو ما إذا كان قد جرى تنزيل البيانات بشكل مؤكد. ولا تُعد أعداد الأشخاص أو حقول البيانات أو الادعاءات الصادرة عن جهات التهديد، ما لم تكن موثقة، جزءًا من النطاق المعلن للواقعة.

شملت الحقول الأساسية، التي اختلفت من شخص إلى آخر، الأسماء الأولى وأسماء العائلة، وتواريخ الميلاد، وبيانات الاتصال، والجنس. وترد «بيانات الاتصال» في الرسالة بوصفها فئة عامة؛ ولا يفترض هذا السجل أن البيانات المعنية لكل متلقٍّ شملت عنوانًا محددًا أو رقم هاتف أو حقل بريد إلكتروني. ويحدد إخطار كل شخص نطاق البيانات المعنية به.

تنص الرسالة الرسمية صراحةً على أن الواقعة لم تشمل أرقام الضمان الاجتماعي أو رخص القيادة. ولذلك لا يُعتمد عنوان صفحة ثانوية يدّعي انكشاف SSN لتحديد فئة من البيانات المعنية. ويستبعد هذا السجل SSNs وبيانات الهوية الحكومية؛ فالمواد العامة المتعلقة بحماية الائتمان والمرفقة بالرسالة لا تعيد تحديد النطاق الفعلي للواقعة.

شملت الحقول الصحية أرقام التعريف في خطط التأمين الصحي، وأرقام السجلات الطبية، وتفاصيل سريرية مثل التشخيصات والأدوية وملاحظات الطبيب. وقد تكشف هذه البيانات معلومات عن العلاج والتأمين، وتجعل الرسائل التي تستخدم اسم مريض أو مقدم رعاية أكثر إقناعًا. ولا يفترض هذا السجل أن جميع أنواع البيانات السريرية الفرعية كانت معنية لدى كل فرد.

يمكن لمتلقي الإخطارات مراجعة كشوف توضيح المنافع التأمينية، والنشاط في بوابة المرضى، والخدمات والأدوية غير المألوفة، ومراسلات خطة التأمين الصحي. وحتى الرسالة التي تقتبس تشخيصًا حقيقيًا أو دواءً أو ملاحظة من الطبيب لا تكون موثوقة تلقائيًا. تحقّق منها باستخدام رقم معروف لـ ParkTree أو عبر بوابة المرضى بفتحها مباشرةً، لا من خلال الرسالة.

يمثل العدد 40,964 عدد الأشخاص المتأثرين المُبلّغ عنه لدى HHS/OCR، وهو إجمالي منشور وموثّق يمكن استخدامه بدلًا من رقم صفري أو تقدير غير مدعوم. ويعبّر عدد الأشخاص المتأثرين أو السجلات الذي ينشره المصدر الرسمي عن النطاق المُبلّغ عنه للواقعة. ولا يعني ذلك أن كل فئة بيانات أُعلن عنها كانت معنية لدى كل شخص.

أي أعداد للسكان ترد في إخطارات الولايات هي مجموعات فرعية من إجمالي المتأثرين على مستوى البلاد، ويجب عدم إضافتها مرة أخرى. وتُمثَّل ParkTree وPomona Community Health Center في سجل واحد لأن الإخطار يوثّق العلاقة بين الاسم القانوني والاسم التجاري (dba) الذي تزاول الجهة نشاطها به. وتاريخ الواقعة هو 7 فبراير وفقًا للرسالة الرسمية، وليس 1 فبراير كما ورد في ملخص ثانوي.

قالت ParkTree إنها أبلغت السلطات المختصة بالواقعة الأمنية، وعززت أمن الشبكة، وحدّثت السياسات والإجراءات. وتورد الرسالة المؤرخة في 21 أغسطس 2024 الرقم 1-877-202-5507 للاستفسارات، وساعات العمل خلال أيام الأسبوع من 9:00 صباحًا إلى 9:00 مساءً بالتوقيت الشرقي؛ وينبغي لمتلقي الإخطارات التأكد من مواعيد إتاحة الخدمة الحالية عبر قناة رسمية للجهة المقدمة للرعاية.

يمكن للشخص المتأثر مراقبة نشاط خطة التأمين الصحي وحساب المريض استنادًا إلى الحقول الواردة في رسالته، والإبلاغ عن الخدمات غير المألوفة، والتحقق بصورة مستقلة من الرسائل غير المتوقعة. لا تشارك كلمة مرور أو رقم خطة تأمين صحي، ولا ترسل دفعة مالية أو رمزًا يُستخدم لمرة واحدة، عبر مراسلة تستخدم اسم ParkTree أو خطة التأمين أو الطبيب؛ واستخدم بدلًا من ذلك موقعًا أو رقم هاتف معروفًا.