خرق بيانات UI Community HomeCare وUI Health Care لعام 2025

المصدر الأساسي هو الإشعار العام الصادر عن University of Iowa Health Care بتاريخ 29 أغسطس 2025. ويذكر أن نظام UI Community HomeCare جرى الدخول إليه دون إذن، وينص صراحةً على أن مرتكب الجريمة الإلكترونية استطاع الاطلاع على الملفات وأخذ نسخ منها. وتؤكد هذه الصياغة الحصول على البيانات، لا مجرد احتمال الوصول إلى المعلومات.

تُدرج بوابة خروقات البيانات الفيدرالية التابعة لـ HHS OCR عددًا قدره 109,029 شخصًا لدى University of Iowa Community Home Care و101,875 شخصًا لدى University of Iowa Health Care. ويتطابق الصفّان في تاريخ الإبلاغ ونوع الحادثة وموقع المعلومات، وهي على التوالي: 29 أغسطس 2025، واختراق/حادثة تقنية معلومات (IT)، وخادم شبكة. وراجعت HIPAA Journal الإعلان بصورة مستقلة، وأفادت بأن الحادثة الواحدة أثرت في نحو 211,000 شخص.

اكتشفت UI Community HomeCare في 3 يوليو أن شخصًا دخل إلى نظام الحاسوب لديها دون تصريح. وأوقفت المؤسسة الخوادم، واستعانت بخبراء في الأمن السيبراني، وأعادت تشغيل الأنظمة بأمان خلال يوم عمل واحد. ويستند تاريخ الحادثة إلى أقدم نشاط تقني يمكن التحقق منه من خلال المصادر المتاحة للعامة.

وجد الفحص الجنائي الرقمي أن الشخص لم يكتفِ بالاطلاع على ملفات معينة، بل أخذ نسخًا منها أيضًا. وكانت لدى UI Community HomeCare وUI Health Care أنظمة تشغيل وسجلات صحية إلكترونية وخدمات تقنية معلومات منفصلة، لكن العلاقة التاريخية بينهما شملت مرضى وموظفين وملفات بيانات مشتركة. ولذلك شملت الحادثة مجموعة من ملفات UI Health Care المخزنة في بيئة المؤسسة المنتسبة.

يسرد الإشعار الرسمي الأسماء وتواريخ الميلاد والعناوين وأرقام الهواتف وأرقام السجلات الطبية ومقدمي الرعاية الصحية وتواريخ تلقي الخدمات ومعلومات التأمين الصحي وأرقام الضمان الاجتماعي وأنواع الزيارات بوصفها حقولًا يُحتمل أن تكون قد تأثرت. وتندرج هذه الحقول ضمن الفئتين الأوسع: المعلومات الشخصية والمعلومات الصحية المحمية. ولم تكن مجموعة البيانات واحدة لدى جميع الأشخاص، ولذلك لا يُنسب أي حقل إلى جميع المتضررين.

يذكر قسم الأسئلة الشائعة (FAQ) في الإشعار أنه لم تكن هناك مؤشرات على شمول أرقام الضمان الاجتماعي لبعض فئات المستلمين الذين وُجّه إليهم الإشعار، في حين يدرج الإشعار العام الرئيسي هذا الحقل ضمن العناصر المحتملة. ولا يُفترض تأثر حقول لم يُفصح عنها، مثل التشخيصات أو الوصفات الطبية أو بطاقات الدفع أو كلمات المرور.

أكد التحقيق الرسمي عدم حدوث أي دخول غير مصرح به إلى نظام السجلات الصحية الإلكترونية لدى UI Health Care. ولا يقلل هذا القيد من أهمية الحادثة، إذ نُسخت رغم ذلك بيانات الهوية والاتصال والتأمين والعلاقة بجهات الرعاية، المحفوظة في الملفات المشتركة. ويصف هذا السجل نطاق الملفات المؤكد تأثرها فقط، ولا يدّعي اختراق النظام السريري بأكمله.

تواصلت المؤسسة مع جهات إنفاذ القانون، وطبّقت أدوات مراقبة جديدة، وحدّثت البرامج الثابتة، وغيّرت كلمات المرور، وأزالت الملفات من الأجهزة المتأثرة. وقالت إنها لم ترصد أي مؤشرات على إساءة الاستخدام عند إصدار الإشعارات. ولا تنفي هذه النتيجة الحصول المؤكد على البيانات، ولا يمكنها استبعاد خطر الاحتيال مستقبلًا في مجالات الهوية أو التأمين أو الرعاية الصحية.

يُقرّب الإشعار الرسمي العدد الإجمالي للمتضررين إلى نحو 211,000 شخص. وتنشر HHS OCR الحادثة نفسها التي وقعت في 3 يوليو ضمن صفّين لكيانين منتسبين، بالعددين 109,029 و101,875.

لا يُتعامل مع صفَّي HHS على أنهما يمثّلان هجومين منفصلين، لأن التاريخ والبنية التحتية ويوم الإخطار والرواية الرسمية كلها تصف حادثة واحدة. ولا توضح المواد المنشورة للعامة ما إذا كان بعض الأفراد مُدرجين في كلا الصفّين الفيدراليين؛ وبما أن HHS تسجل أعداد المتضررين تحت كيانين منفصلين، فإن مجموع العددين يمثّل أفضل رقم دقيق متاح. وتوضح ملاحظات المصادر طريقة الحساب وما يحيط بها من عدم يقين.

أرسلت UI Health Care وUI Community HomeCare رسائل بالبريد إلى الأفراد المتضررين في 29 أغسطس 2025. وقالت المؤسسة إنها لم تكن تعرض خدمة مجانية لمراقبة الائتمان، لأنها لم تجد مؤشرات على إساءة الاستخدام عند الإخطار. وينبغي للمستلمين الاستناد إلى الحقول المحددة في الرسالة التي تلقاها كل منهم، ومراجعة كشوف الحسابات والتقارير الائتمانية وكشوف شرح مزايا التأمين الصحي بانتظام.

إذا لاحظتم أمرًا غير مألوف يتعلق بخدمة طبية أو مطالبة تأمينية أو حساب ائتماني جديد أو رسالة للتحقق من الهوية، فتواصلوا مع الجهة المعنية عبر قناة رسمية معروفة. وتوخّوا حذرًا خاصًا من المكالمات أو الروابط غير المتوقعة التي تستخدم أسماء المؤسسات المتأثرة.