خرق بيانات QualDerm Partners لعام 2025

قالت QualDerm إنها رصدت نشاطًا غير مصرح به في شبكة الحاسوب لديها، وإن الوصول استمر من 23 ديسمبر إلى 24 ديسمبر 2025. وخلص التحقيق الجنائي الرقمي إلى أن ملفات تحتوي على معلومات حساسة نُقلت إلى خارج الشبكة خلال تلك الفترة القصيرة. ولذلك، يستند هذا السجل إلى حصول المهاجم على البيانات وفقًا لما أكدته المؤسسة، وليس إلى مجرد افتراض أن البيانات ربما جرى الاطلاع عليها.

يصنّف HHS OCR الحادث على أنه حادث قرصنة/تقنية معلومات، ويحدد موقع البيانات المتأثرة بأنه خادم شبكة، ونوع الجهة بأنها مقدم رعاية صحية. وراجعت HIPAA Journal إشعار الشركة والبلاغ المقدم إلى الجهة التنظيمية في أوريغون والسجل لدى HHS معًا، مما عزز تأكيد التسلسل الزمني وحقول البيانات ونطاق التأثر الذي شمل عدة ملايين من الأشخاص. وتثبت النتائج المشتركة لهذه المصادر حدوث وصول فعلي إلى الشبكة، ونقل ملفات إلى خارجها، وتأثر معلومات المرضى.

بدأ الوصول المؤكد في 23 ديسمبر 2025، وانتهى عندما اكتشفت QualDerm نشاطًا غير معتاد في 24 ديسمبر. ويستند تاريخ الحادث إلى أقدم نشاط تقني يمكن التحقق منه عبر المصادر العامة. ثم أمّنت المؤسسة شبكتها وأنظمة الحاسوب لديها، وعملت مع متخصصين خارجيين لتحديد طبيعة الحادث ونطاقه.

قالت QualDerm إن مراجعة الملفات كانت مستمرة، وإن الإشعارات ستُرسل بالبريد تباعًا لتجنب أي تأخير غير ضروري. وشمل أول عدد أُعلن للجمهور 174,837 من سكان تكساس، ثم بلغ العدد الوارد لدى أوريغون وHHS ما مجموعه 3,117,874. أما العدد الذي يعرضه HHS حاليًا، وهو 3,433,965 شخصًا، فهو أحدث، ولذلك لا تُضاف إليه الأعداد المرحلية السابقة.

بحسب الشخص، قد تشمل الحقول المتأثرة الأسماء وعناوين البريد الإلكتروني وتواريخ الميلاد وتواريخ الوفاة. كما شمل النطاق المعلن أسماء الأطباء وأرقام السجلات الطبية. وتُظهر التشخيصات ومعلومات العلاج وبيانات التأمين الصحي أن الحادث طال معلومات صحية محمية، إلى جانب بيانات الهوية.

قالت QualDerm إن معلومات وثائق الهوية الصادرة عن الجهات الحكومية، مثل أرقام رخص القيادة، ربما تأثرت أيضًا لدى مجموعة صغيرة جدًا من الأشخاص. ولا تدرج المصادر أرقام الضمان الاجتماعي أو بطاقات الدفع أو الحسابات المصرفية أو كلمات مرور الحسابات ضمن الحقول المؤكد تأثرها. لذلك، يقتصر هذا السجل على فئات البيانات المنشورة، ولا يفترض أن كل فئة تخص كل شخص.

تُظهر قائمة التحقيقات المفتوحة لدى HHS OCR حاليًا 3,433,965 فردًا في السجل الخاص بـ QualDerm Partners LLC، الذي قُدّم في 22 فبراير 2026. ويحدّث هذا العدد الرقم السابق المبلّغ عنه للجهات التنظيمية، وهو 3,117,874، الذي ورد في التغطية الإخبارية. ويمثل عدد الأشخاص أو السجلات المتأثرة الذي نشره المصدر الرسمي النطاق المُبلّغ عنه للحادث. ولا يعني ذلك أن كل فئة من فئات البيانات المعلنة كانت تخص كل شخص.

كانت QualDerm قد قالت إنها تقدم خدماتها إلى 158 عيادة للأمراض الجلدية والعناية بالبشرة في 17 ولاية، ضمن شبكة تصل خدماتها إلى أكثر من 15 مليون مريض سنويًا. وهذا الحجم التشغيلي لا يمثل عدد المتأثرين بالخرق. ولا تستخدم LeakData تقديرًا يبلغ 15 مليونًا، ولا تختلق أعدادًا على مستوى العيادات، ولا تتجاوز إجمالي عدد الأشخاص المشمولين بالإشعار المؤكد لدى HHS، وهو 3,433,965.

قالت QualDerm إنها لم ترصد أدلة على إساءة استخدام بيانات المرضى عند الإعلان عن الحادث، وقدمت للمتأثرين خدمات مجانية لمراقبة الائتمان والحماية من سرقة الهوية. ولا يلغي غياب إساءة استخدام معروفة واقعة نقل الملفات المؤكدة إلى خارج الشبكة، ولا يزيل خطر الاحتيال مستقبلًا. وقالت المؤسسة أيضًا إنها تراجع سياسات أمن البيانات وإجراءاته وبروتوكولاته.

لا تؤكد المصادر العامة هوية المهاجم أو طريقة الدخول الأولية أو وجود طلب فدية أو حجم الملفات. لذلك، لا تربط LeakData الحادث بمجموعة معينة من مجموعات برامج الفدية، ولا تختلق سببًا جذريًا مثل التصيد الاحتيالي أو سرقة بيانات الاعتماد أو استغلال ثغرة أمنية. ويقتصر هذا السجل على الوصول المؤكد إلى الشبكة، ونقل الملفات إلى خارجها، وفئات المعلومات المعلنة.

ينبغي للمرضى الذين يتلقون إشعارًا مقارنة اسم عيادة الأمراض الجلدية المذكورة وعلاقتهم بالطبيب بما هو موثق في سجلاتهم. وينبغي الإبلاغ عن أي تشخيص أو علاج أو مقدم رعاية أو مطالبة تأمينية غير مألوفة تظهر في الكشوف الطبية، وذلك عبر قنوات الخصوصية الرسمية لدى جهة التأمين الصحي والعيادة. كما ينبغي التحقق بشكل مستقل من الرسائل التي تطلب رقم سجل طبي أو وثيقة هوية قبل فتح أي رابط.

يمكن لأفراد المجموعة الصغيرة التي تأثرت بيانات وثائق هويتها الحكومية سؤال الجهة المُصدِرة عن تدابير حماية إضافية أو استبدال الوثيقة، وينبغي لهم التحقق من الموعد النهائي للاستفادة من عرض خدمات المراقبة.