خرق بيانات Saint Anthony Hospital لعام 2025

الدليل الأساسي هو إشعار حادث أمن البيانات الذي نشره المستشفى على نطاقه الإلكتروني. ويذكر الإشعار أن جهة غير مصرّح لها ربما تمكنت من الوصول إلى حسابين للبريد الإلكتروني تابعين لموظفين، وأن الحادث أدى إلى وصول غير مصرّح به إلى ملفات غير مهيكلة معينة داخل الشبكة أو الحصول عليها. وتؤكد المؤسسة أيضًا أنها اتخذت إجراءات احتواء للأنظمة المتأثرة وأجرت تحقيقًا بمساعدة متخصصين خارجيين في الأمن السيبراني.

يدرج HHS OCR الحادث ضمن فئة مقدّمي الرعاية الصحية، ويصنّفه على أنه حادث اختراق/تقنية معلومات، ويحدد البريد الإلكتروني بوصفه موضع المعلومات المتأثرة. ويشكّل العدد الإجمالي البالغ 146,108 أشخاص، الوارد في السجل الرقابي الفيدرالي، سندًا لاستنتاج المستشفى بشأن تأثر معلومات المرضى الشخصية والصحية. وقد قارن HIPAA Journal المصادر بصورة مستقلة، وأكد توافقها بشأن تاريخ الوصول، واكتمال المراجعة، وتوقيت الإخطار، والنطاق المحدّث للحادث.

وفقًا للإشعار الرسمي، جرى الوصول إلى الملفات والمجلدات غير المهيكلة أو الحصول عليها في 27 فبراير 2025 أو نحو ذلك التاريخ. ويستند تاريخ الحادث إلى أقدم نشاط تقني يمكن التحقق منه بالاعتماد على المصادر العامة. ولا يحدد النص المنشور أول يوم دخلت فيه الجهة إلى الحسابات، ولا المدة الإجمالية للوصول، ولا تاريخ اكتشاف المستشفى للحادث أول مرة؛ لذلك لا يفترض هذا السجل تاريخ بداية أسبق.

عمل Saint Anthony مع متخصصين لتحديد البيانات والأشخاص المتأثرين، وأكمل مراجعة الملفات قرابة 13 فبراير 2026. ثم نشر إشعارًا بديلًا وبدأ إرسال الإشعارات بالبريد إلى الأفراد المحتمل تأثرهم في 6 مارس 2026. ويعكس الفاصل الزمني البالغ نحو عام عملية مراجعة الملفات ومطابقة الهويات، ولا يمثل ادعاءً بأن المهاجم ظل موجودًا طوال تلك الفترة.

يذكر البيان الرسمي الصادر في مارس 2026 أن البيانات غير المهيكلة المتأثرة تضمنت معلومات شخصية عن المرضى ومعلومات صحية شخصية. ولا يحدد البيان، بالنسبة إلى هذا الحادث، الأسماء أو العناوين أو تواريخ الميلاد أو أرقام الضمان الاجتماعي أو التشخيصات أو الوصفات الطبية أو أرقام الحسابات. ولا تُدرج ضمن نطاق الحادث المعلن أعداد الأشخاص أو حقول البيانات أو ادعاءات جهات التهديد التي لم يُتحقق منها.

تضمّن إشعار علني سابق من Saint Anthony قائمة تفصيلية بالحقول، لكن HHS يعرض حوادث بتواريخ مختلفة وأعداد مختلفة من الأشخاص المتأثرين، ولن يكون دمجها تلقائيًا موثوقًا. ويرتبط هذا السجل بإشعار مارس 2026 الذي يشمل 146,108 أشخاص، ولا ينقل قائمة حقول الحادث السابق إلى نطاق الحادث الأحدث. كما أنه لا يفترض أن ملفات جميع الأشخاص تضمنت فئات البيانات نفسها.

خلص التحقيق الجنائي الرقمي الذي أجراه Saint Anthony إلى أن نظام السجلات الصحية الإلكترونية لديه لم يتأثر بهذا الحادث. ولا يعني هذا الاستثناء أن الحادث لم يشمل أي معلومات صحية؛ فقد وُجدت معلومات شخصية عن المرضى ومعلومات صحية محمية في ملفات غير مهيكلة مرتبطة ببيئة البريد الإلكتروني. ويميّز ذلك بين منصة السجلات الإلكترونية المركزية والمستندات المحفوظة في البريد الإلكتروني أو في مواضع على الشبكة.

لذلك يحدد LeakData البريد الإلكتروني بوصفه النظام المتأثر، ولا يوحي بأن المنصة السريرية بأكملها تعرضت للاختراق. وقد تكون الملفات غير المهيكلة مرفقات أو مستندات ممسوحة ضوئيًا أو سجلات حرة التنسيق، لكن المصادر لا تحدد صيغها بدقة، لذا لا تُضاف هذه الاحتمالات بوصفها حقائق. ويظل انكشاف البيانات الموثق مقصورًا على الفئتين اللتين أكدهما المستشفى صراحةً.

يمثل عدد الأشخاص أو السجلات المتأثرة الذي نشره المصدر الرسمي النطاق المبلّغ عنه للحادث. ولا يعني ذلك أن كل فئة بيانات أُعلن عنها تخص كل شخص. فهذا هو العدد الإجمالي للأشخاص المتأثرين الذي أُبلغت به الجهة الرقابية الفيدرالية، وليس عدد الملفات أو حسابات البريد الإلكتروني أو حقول البيانات الفريدة. ويصف حسابا البريد الإلكتروني التابعان للموظفين منافذ الوصول في الحادث، ويجب عدم الخلط بينهما وبين عدد الضحايا.

نظرًا إلى أن بوابة HHS تتضمن أيضًا حادث بريد إلكتروني أصغر لدى Saint Anthony أُبلغ عنه في 2025، لم يعتمد التحقق من التكرار على اسم المؤسسة وحده. ويتميز هذا السجل باجتماع تاريخ الوصول في 27 فبراير، والإخطار في 6 مارس 2026، والنطاق البالغ 146,108 أشخاص. ولا تُجمع الأعداد الواردة في صفوف السجل الفيدرالي المنفصلة، ولا يُحسب أي تداخل غير معلوم بين الأشخاص المتأثرين في الحوادث المختلفة.

قال المستشفى وقت إصدار الإشعار إنه لم يكن على علم بوجود أدلة على إساءة استخدام المعلومات أو وقوع سرقة هوية أو احتيال. ومع ذلك، نصح الأشخاص المتأثرين بمراجعة كشوف حساباتهم المالية وتقاريرهم الائتمانية وكشوف توضيح المنافع الصادرة عن التأمين الصحي بانتظام. وينبغي التحقق من أي خدمة أو مطالبة أو دفعة غير مألوفة لدى مقدم الخدمة أو شركة التأمين المعنية عبر قناة رسمية معروفة.

تستدعي الروابط غير المتوقعة وطلبات الدفع ورسائل التحقق من الهوية التي تَرِد باسم Saint Anthony تدقيقًا خاصًا، لأن سياق الحادث قد يساعد على تنفيذ تصيّد احتيالي موجّه. وينبغي لمتلقي الإشعارات الاعتماد على نطاق تأثرهم الفردي وبيانات الاتصال الرسمية الواردة في الرسالة المرسلة إليهم بالبريد. ولا ينشر LeakData ملفات المرضى المسروقة ولا يبحث فيها؛ بل يقدّم فقط بيانات وصفية موثّقة عن الحادث ومصادر وإرشادات عملية للمتابعة.