خرق بيانات VITAS Hospice Services لعام 2025

المصدر الأساسي هو إشعار خرق البيانات المكوّن من أربع عشرة صفحة، الذي أرسلته VITAS Hospice Services إلى الأشخاص المتضررين. ويوضح الإشعار مباشرةً تاريخ اكتشاف الحادثة، وحساب المورّد المخترق، وفترة الوصول، وتنزيل البيانات، والتحقيق، والتحسينات الأمنية، وخدمات الحماية المقدمة لمدة أربعة وعشرين شهرًا.

المصدر الثاني هو بوابة خروقات البيانات التابعة لـ HHS OCR، التي تؤكد العدد الإجمالي المسجل اتحاديًا، وهو 319,177 شخصًا، وتصنيفات الحادثة. والمصدر الثالث هو تقرير SecurityWeek الصادر في 9 ديسمبر 2025، الذي يصف بصورة مستقلة نطاق الحادثة وطريقة الوصول وتنزيل بيانات المرضى، استنادًا إلى إشعار VITAS والسجل الاتحادي. وتؤيد HIPAA Journal التسلسل الزمني نفسه وفئات البيانات ذاتها.

اخترقت الجهة غير المصرّح لها حسابًا يخص أحد مورّدي VITAS، واستخدمته للدخول إلى أنظمة معينة تابعة لـ VITAS. واكتشفت المؤسسة الواقعة في 24 أكتوبر، بينما كشف الفحص الجنائي الرقمي عن وصول غير مصرّح به امتد من نحو 21 سبتمبر حتى 27 أكتوبر. وخلال هذا النشاط، جرى الاطّلاع على معلومات تخص بعض المرضى الحاليين والسابقين وتنزيلها.

بعد اكتشاف الحادثة، اتخذت VITAS إجراءات لتأمين أنظمتها، وفتحت تحقيقًا داخليًا، واستعانت بخبراء خارجيين. ويعكس انتهاء الوصول بعد نحو ثلاثة أيام من الاكتشاف التسلسل الزمني الذي خلص إليه الفحص الجنائي الرقمي المكتمل. ويستند تاريخ الحادثة إلى أقدم نشاط تقني يمكن التحقق منه من خلال المصادر العامة.

اختلفت حقول البيانات من شخص إلى آخر، وقد تشمل الأسماء، والعناوين، وأرقام الهواتف، وتواريخ الميلاد، وأرقام الضمان الاجتماعي، وأرقام رخص القيادة، وبيانات الاتصال بأقرب الأقارب، والتشخيصات، والأدوية، ونتائج المختبر، والحالات الصحية، ومعلومات العلاج، ومعلومات التأمين الصحي، وغيرها من المعلومات الشخصية. وتُعد هذه المجموعة من البيانات شديدة الحساسية فيما يتعلق بالاحتيال المرتبط بالهوية والاحتيال الطبي.

لم تقل VITAS إن جميع الحقول كانت موجودة لكل الأشخاص البالغ عددهم 319,177. وتؤكد رسالة الشركة تنزيل البيانات، لكن المصادر لا تثبت نشرها علنًا أو بيعها أو نقلها إلى مجموعة محددة بالاسم تستخدم برمجيات الفدية.

يمثل عدد الأشخاص المتضررين أو السجلات الذي نشره المصدر الرسمي النطاق المبلّغ عنه للحادثة. ولا يعني ذلك أن كل فئة من فئات البيانات المعلنة انطبقت على كل شخص. وتنقل SecurityWeek ومنشورات أخرى متخصصة في أمن قطاع الرعاية الصحية العدد الإجمالي الاتحادي نفسه. ويحصي هذا الرقم الأشخاص المشمولين بالإشعارات، لا الملفات أو زيارات الرعاية في نهاية الحياة أو الوصفات الطبية أو نتائج المختبر أو عناصر البيانات الفردية.

تعمل VITAS Hospice Services ضمن شبكة VITAS Healthcare للرعاية في نهاية الحياة والرعاية التلطيفية على مستوى البلاد. وشملت الحادثة معلومات تخص مرضى حاليين وسابقين، لكن لم يُفصح عن عدد أفراد كل مجموعة على حدة، ولا عن عدد المتضررين بحسب كل حقل من حقول البيانات؛ لذلك لا يورد هذا السجل إجماليات موزعة على هذه الفئات.

قالت VITAS إنها أمّنت أنظمتها، وفتحت تحقيقًا داخليًا، وعملت مع شركة رائدة في مجال الأمن السيبراني، وأبلغت جهات إنفاذ القانون. كما راجعت المؤسسة إجراءات الرقابة على المورّدين وبروتوكولات حماية البيانات وعززتها للحد من خطر وقوع حادثة مماثلة.

لم تكن VITAS على علم بأي إساءة استخدام للمعلومات الشخصية عند إصدار الرسالة. ومع ذلك، حصل الأشخاص المتضررون على خدمات مجانية لمدة أربعة وعشرين شهرًا عبر Epiq، تشمل مراقبة الائتمان وحماية الهوية والمراقبة الطبية. وتشمل الحزمة استعادة الهوية، والمساعدة في تجميد الائتمان، وتنبيهات بشأن مؤشرات معينة على انكشاف بيانات الهوية الطبية.

ينبغي لمتلقي الإشعار تفعيل خدمة Epiq خلال فترة التسجيل المحددة في الرسالة، ومراجعة التقارير الائتمانية والتغييرات في العناوين وكشوف شرح المنافع الصادرة عن التأمين الصحي وسجلات الخدمات الطبية بانتظام، لرصد أي حسابات أو أنشطة غير مألوفة. وينبغي الإبلاغ عن أي بند مشبوه عبر قناة رسمية للمؤسسة المعنية.

تنص رسالة VITAS تحديدًا على أن المؤسسة لن ترسل مراسلات إلكترونية بشأن الواقعة، وتطلب من المتلقين عدم مشاركة المعلومات الشخصية إلكترونيًا. وينبغي عدم فتح الروابط غير المتوقعة التي تدّعي أنها من VITAS أو Epiq أو شركة تأمين أو مقدّم رعاية؛ بل يجب بدء التواصل عبر رقم تم التحقق من صحته. وعند ظهور رسالة مشبوهة أو نشاط مشبوه في الحساب، ينبغي التحقق منه عبر قناة الاتصال الرسمية الحالية للمؤسسة، دون استخدام الروابط الواردة في الرسالة.