خرق بيانات Restorix Health لعام 2024

يربط الإشعار الرسمي الصادر عن Restorix بين فترة الوصول وتواريخ الاكتشاف والمراجعة وأنواع المعلومات المعلنة واستجابة المؤسسة، باعتبارها عناصر حادث واحد. ويؤكد سجل HHS OCR هوية Restorix Health، ودورها بوصفها شريك أعمال في قطاع الرعاية الصحية، ووقوع الحادث في بيئة البريد الإلكتروني، والعدد الإجمالي الحالي البالغ 38,553 شخصًا.

كما يؤيد ملخص مستقل للحادث، يتتبّع المستندات المقدمة إلى سلطات الولايات، فترة الوصول من 7 مايو إلى 29 مايو، وموعد مراجعة البيانات في 27 نوفمبر 2024، وإخطار شركاء الرعاية الصحية في 18 ديسمبر، وبدء إرسال الإشعارات الفردية في 14 فبراير 2025. واختلفت أنواع المعلومات المعلنة من شخص إلى آخر؛ ولا يعني العدد الإجمالي البالغ 38,553 أن كل نوع من المعلومات المذكورة كان يخص جميع الأشخاص.

وصل طرف غير مصرّح له إلى حساب البريد الإلكتروني لأحد موظفي Restorix بين 7 مايو و29 مايو. وتقول Restorix إنها علمت بهذا الوصول في 30 مايو أو نحو ذلك، وأمّنت الحساب، واستعانت بمتخصصين لتحديد طبيعة الحادث ونطاقه.

تبيّن في 27 نوفمبر، بعد تحقيق موسّع ومراجعة للمستندات، أن الحساب الذي جرى الوصول إليه احتوى على معلومات شخصية أو معلومات صحية محمية تخص أشخاصًا مرتبطين بشركاء الرعاية الصحية. ولا تكشف المصادر العامة كيفية اختراق الحساب، أو نقطة الضعف التقنية التي استُغلت، أو هوية الطرف المسؤول.

بحسب الشخص، شملت المعلومات التي يُحتمل أن تكون قد تأثرت الأسماء الأولى وأسماء العائلة، وتواريخ الميلاد، وأرقام رخص القيادة، وأرقام وثائق إثبات الهوية الحكومية الأخرى، وأرقام جوازات السفر، وأرقام الضمان الاجتماعي. كما أورد الإشعار الرسمي معرّفات المرضى وأرقام الشهادات أو التراخيص.

وربما شملت المعلومات الصحية معلومات طبية ومعلومات عن الوصفات الدوائية، وتواريخ تقديم الخدمات، والحالات الصحية أو العلاج أو التشخيصات، ومعلومات التأمين الصحي. ولم تُضف الحسابات المالية وبطاقات الدفع وكلمات المرور وعناوين البريد الإلكتروني لمتلقي الإشعارات إلى هذه القائمة، لأن الإشعار الرسمي لا يوردها.

يمكن أن تساعد أرقام الهوية، عند جمعها مع معلومات المرضى والمعلومات الصحية، في سرقة الهوية أو الاحتيال في الرعاية الصحية أو صياغة رسائل موجّهة مقنعة. ولا يمكن ببساطة تغيير أرقام الضمان الاجتماعي وجوازات السفر ووثائق إثبات الهوية الحكومية، لذا قد تكون المراقبة على مدى فترة طويلة إجراءً مناسبًا.

قد يستغل شخص يعرف تفاصيل حقيقية عن علاج أو وصفة دوائية أو تاريخ تقديم خدمة أو تأمين، هذه المعرفة لتقديم طلب أكثر إقناعًا يدّعي فيه أنه يمثل Restorix أو مستشفى أو عيادة أو شركة تأمين. ولا تثبت حيازة هذه التفاصيل أن لديه صلاحية تقديم الطلب، وينبغي التحقق من الطلبات غير المتوقعة عبر قناة مستقلة.

أمّنت Restorix الحساب الذي جرى الوصول إليه، واستعانت بمتخصصين خارجيين في التحقيق الجنائي الرقمي، وأجرت مراجعة يدوية للمستندات لتحديد المعلومات التي شملها الحادث. وأُبلغ شركاء الرعاية الصحية في 18 ديسمبر 2024، وبدأ إرسال الإشعارات إلى الأشخاص الذين توفرت عناوينهم البريدية في 14 فبراير 2025.

تقول المؤسسة إنها طبّقت تدابير حماية إضافية للأمن السيبراني، وعزّزت تدريب الموظفين، وراجعت سياساتها وإجراءاتها. ولا تصف الرواية الرسمية الحادث بأنه هجوم ببرمجيات الفدية، ولا تسمّي طرفًا بعينه، ولا تذكر أي إساءة استخدام معروفة للمعلومات المعلنة.

ينبغي لمتلقي الإشعارات مراجعة حساباتهم المالية وتقاريرهم الائتمانية والبيانات التوضيحية للتأمين الصحي بانتظام، بحثًا عن حسابات أو معاملات أو خدمات أو مطالبات لا يعرفونها. وينبغي إبلاغ المؤسسة المالية المعنية ومقدم الرعاية الصحية وشركة التأمين، والسلطات عند الاقتضاء، بأي نشاط مشبوه.

لا تشارك رقم الضمان الاجتماعي أو معلومات المرضى أو كلمة مرور أو رمز تحقق يُستخدم لمرة واحدة استجابةً لبريد إلكتروني أو رسالة أو مكالمة غير متوقعة. وينبغي التحقق من أي طلب يدّعي صاحبه أنه صادر عن Restorix أو مؤسسة للرعاية الصحية، باستخدام معلومات الاتصال الموجودة على الموقع الرسمي، لا الروابط أو الأرقام الواردة في الرسالة.