خرق بيانات Summit Pathology 2024

تشمل أنواع البيانات المذكورة في إشعار حادثة Summit Pathology نطاقًا واسعًا من المعلومات. فقد تحتوي الأنظمة المتأثرة على الأسماء الأولى وأسماء العائلة، والعناوين، وتواريخ الميلاد، وأرقام الضمان الاجتماعي، والمعلومات المالية، ومعلومات التأمين الصحي، ومعلومات الفوترة الطبية، وبعض المعلومات الطبية. وقد تتضمن المعلومات الطبية سجلات مرتبطة بخدمات علم الأمراض، مثل معلومات التشخيص. ويشير وجود المعلومات الديموغرافية إلى جانب المعلومات المالية ومعلومات التأمين الصحي ضمن المجموعة نفسها من الملفات إلى أن الحادثة لا يمكن اعتبارها مجرد تسرب لمعلومات الاتصال.

ينشأ عن اجتماع هذه البيانات خطر متعدد الأوجه. فأرقام الضمان الاجتماعي وتواريخ الميلاد تظل ذات قيمة لمن يسعون إلى سرقة الهوية، أو تقديم طلبات ائتمان، أو ارتكاب احتيال ضريبي، أو إساءة استخدام إجراءات استرداد الحسابات. ويمكن استخدام معلومات التأمين الصحي والفوترة لإنشاء فواتير طبية مزيفة، أو ارتكاب احتيال تأميني، أو انتحال هوية المرضى في حساباتهم. وقد تمس السجلات التي تتضمن معلومات التشخيص أو الخدمات الطبية خصوصية الشخص الصحية، وتجعل رسائل الهندسة الاجتماعية الموجّهة أكثر إقناعًا. لذلك، ينبغي للأفراد المتأثرين مراقبة حساباتهم الائتمانية، وكذلك أنشطة التأمين الصحي وفوترة خدمات المرضى.

التوقيت المتحقق منه لبداية الحادثة واكتشافها هو نحو 18 أبريل 2024. ويذكر الإشعار أن الشركة أمّنت شبكتها بعد ملاحظة نشاط مشبوه، واستعانت بخبراء لإجراء التحقيق، وأن جهة غير مخوّلة ربما وصلت إلى بعض الملفات أو استحوذت عليها. ويظهر تاريخ الإشعار على أنه 18 أكتوبر 2024؛ وهو التاريخ الذي أُبلغ فيه المستخدمون بالحادثة. ويورد سجل خرق البيانات الصحية 1,813,538 شخصًا لدى Summit Pathology وSummit Pathology Laboratories, Inc.، ضمن فئة خادم الشبكة وحوادث الاختراق/IT.

أُضيفت حقول البيانات في هذا السجل وفقًا للقائمة الواردة صراحةً في خطاب الإشعار. وبما أن الإشعار يذكر المعلومات المالية ورقم الضمان الاجتماعي صراحةً، فقد أُدرج هذان الحقلان. في المقابل، لم تُضف كلمة مرور حساب المستخدم، أو رقم البطاقة، أو رقم جواز السفر، أو تفاصيل نظام السجلات الصحية الإلكترونية إلى فئات البيانات، لأنها لم ترد صراحةً في الإشعار الرسمي. ولم يُفترض أن الملفات تحتوي بالفعل على الحقول نفسها لكل شخص، إذ يشير الإشعار إلى أن أنواع البيانات قد تختلف من فرد إلى آخر.

تتكون الفئة الرئيسية المعرّضة للخطر من المرضى الذين يتلقون خدمات علم الأمراض من Summit Pathology، والأفراد الذين توجد معلوماتهم في أنظمة المختبرات لتنفيذ هذه الخدمات. وتذكر الشركة أنها تقدم خدمات علم الأمراض لمقدمي الخدمات الطبية، وأن الشخص الذي يتلقى الإشعار ربما تأثر بخدمات Summit من خلال مقدم الرعاية الصحية الذي يتعامل معه. لذلك، حتى إن لم يتذكر الشخص أنه تواصل مباشرةً مع Summit، فقد تكون سجلاته ضمن نطاق الحادثة إذا كان طبيبه أو مرفق الرعاية الصحية الذي يتعامل معه قد استعان بـSummit لتقديم خدمات علم الأمراض.

نظرًا إلى الحساسية الخاصة لبيانات المرضى، لا تقتصر المخاطر على الاحتيال المالي. فعند استخدام معلومات التشخيص وسجلات الفوترة وبيانات التأمين ومعلومات الهوية معًا، يمكن إعداد فواتير مختبرية مزيفة، أو إجراء مكالمات زائفة للتحقق من التأمين، أو انتحال صفة جهات الرعاية الصحية، أو صياغة رسائل تصيد مخصصة. وبالنسبة إلى الأفراد الذين لديهم رقم ضمان اجتماعي، يمتد الخطر على المدى الطويل؛ أما من تشمل بياناتهم معلومات مالية أو سجلات فوترة، فينبغي لهم أيضًا مراقبة نشاط الحسابات ومدفوعات الرعاية الصحية.

تتمثل الخطوة الأولى لمن يتلقون الإشعار في مراجعة الخطاب لمعرفة أنواع بياناتهم التي ربما تأثرت. وإذا تأثر رقم الضمان الاجتماعي أو المعلومات المالية، فإن تجميد الائتمان وتفعيل تنبيهات الاحتيال ومراجعة التقارير الائتمانية تُعد إجراءات ذات أولوية. أما بالنسبة إلى معلومات التأمين الصحي والفوترة، فينبغي مراجعة كشوف التأمين وحسابات المرضى وفواتير المختبرات غير المتوقعة بانتظام. وعند تلقي رسالة مشبوهة تتعلق بخدمات طبية أو معلومات تشخيص، ينبغي الاتصال بمقدم الرعاية الصحية مباشرةً بدلًا من النقر على الرابط.

ينبغي للأفراد الذين أُتيحت لهم خدمات حماية الهوية إتمام التسجيل حصرًا باتباع التعليمات الرسمية الواردة في الإشعار. وينبغي تعيين كلمات مرور فريدة لبوابات المرضى وحسابات البريد الإلكتروني وأنظمة الفوترة التي تستخدم كلمة المرور نفسها، وتفعيل المصادقة متعددة العوامل، وإنهاء الجلسات القديمة. وبما أن معلومات لا يمكن تغييرها، مثل أرقام الضمان الاجتماعي، ربما تكون قد تسربت، فإن تغيير كلمة المرور مرة واحدة لا يكفي. وينبغي مراقبة الأنشطة الائتمانية والضريبية والتأمينية وأنشطة الرعاية الصحية معًا.

توضح حادثة Summit Pathology مدى اتساع مخاطر البيانات الصحية لدى الأطراف الثالثة عندما تتعامل المختبرات ومقدمو خدمات علم الأمراض مع ملفات حساسة نيابةً عن مؤسسات رعاية صحية عديدة. وقد لا يعرف المريض مقدم الخدمات المختبرية مباشرةً، لكن بياناته قد توجد في هذه الأنظمة بسبب إجراءات الفحص أو التشخيص أو الفوترة. لذلك، ينبغي للمرضى الانتباه إلى بوابة طبيبهم، وكذلك إلى الإشعارات الصادرة عن المختبرات ومقدمي خدمات الفوترة الذين يستخدمون خدماتهم.

من منظور المؤسسات، تتمثل الاستراتيجية طويلة الأمد في تقليص صلاحيات الوصول إلى الملفات، وعدم الاحتفاظ بالبيانات القديمة دون حاجة، وتخزين بيانات الفوترة الطبية ضمن طبقات حماية منفصلة، وإنشاء سجلات تدقيق تكشف عمليات نقل الملفات غير المعتادة مبكرًا. فعندما تحتوي مجموعات كبيرة من الملفات على بيانات الهوية والصحة والفوترة، يتضاعف أثر الحادثة. لذلك، ينبغي بعد وقوع حادثة ألا تقتصر المراجعة على تنظيف الأنظمة، بل أن تشمل أيضًا إعادة تقييم سياسات الاحتفاظ بالبيانات، وتقسيم الشبكة، وتدريب الموظفين، وإجراءات إخطار الأطراف الثالثة.

أُعدّ سجل Summit Pathology لعام 2024 على LeakData لمساعدة المستخدمين على فهم النطاق الفعلي للحادثة أثناء التحقق مما إذا كانت لهم صلة بهذا الخرق الكبير للبيانات الصحية. ويستند السجل إلى تاريخ الحادثة، وهو 18 أبريل 2024، وعدد الأفراد المتأثرين البالغ 1,813,538، وأنواع البيانات المذكورة صراحةً في الإشعار الرسمي. وتقتصر فئات البيانات المدرجة على الهوية، والعنوان، وتاريخ الميلاد، ورقم الضمان الاجتماعي، والمعلومات المالية، ومعلومات التأمين الصحي، ومعلومات الفوترة، والمعلومات الطبية، ومعلومات التشخيص.

ينبغي للمستخدمين الذين يظهر هذا الخرق ضمن نتائجهم مراجعة تقاريرهم الائتمانية وكشوف التأمين الصحي بانتظام، والانتباه إلى فواتير خدمات علم الأمراض أو المختبرات غير المتوقعة، والحذر من الرسائل التي تنتحل صفة مقدمي الخدمات الطبية. ففي الحوادث التي يُحتمل فيها تسرب المعلومات الشخصية والصحية معًا، يستمر الخطر مدة طويلة. لذلك، جرى التحقق من السجل ووُسم بأنه نشط وحساس؛ وينبغي ألا تقتصر إجراءات المستخدم على تغيير كلمة المرور فقط.