خرق بيانات Washington Department of Social and Health Services لعام 2026

المصدر الأساسي هو إشعار خرق البيانات المكوّن من ثلاث صفحات والمنشور على الموقع الرسمي لـ DSHS. وتوضح رسالة الجهة شهر اكتشاف الحادثة، ووصول الموظف السابق إلى البيانات، والحقول التي ربما اطّلع عليها، والتفاصيل الصحية المستبعدة، وإنهاء صلاحية الوصول إلى الأنظمة، والتعاون مع جهات إنفاذ القانون، والخطوات الموصى بها للأشخاص المتأثرين.

المصدر الثاني هو بوابة خروقات البيانات التابعة لـ HHS OCR، التي تؤكد أن النطاق يشمل 8,600 شخص وتؤكد التصنيفات الفيدرالية للحادثة. أما المصدر الثالث فهو تقرير HIPAA Journal المؤرخ في 30 يونيو 2026، الذي يصف بصورة مستقلة، بالاستناد إلى الإشعار الرسمي، الوصول من داخل الجهة وفئات البيانات ومغادرة الموظف واستجابة DSHS.

اكتشفت DSHS في مارس أن موظفًا اطّلع على معلومات شخصية في نظامها الداخلي لبيانات المستفيدين لأسباب لا تتعلق بمهامه. وأنهت الجهة فورًا صلاحية وصول الموظف إلى أنظمة DSHS، وراجعت سجل نشاطه ووصوله إلى بيانات المستفيدين، وتعاونت مع جهات إنفاذ القانون على مستوى الولاية والمستوى المحلي في تحقيق لا يزال جاريًا.

لا يحدد الإشعار العام أول يوم للاطّلاع غير المصرّح به أو آخر يوم له، ولا يذكر مدة استمراره. ولا ينبغي اعتباره تحديدًا لليوم الدقيق الذي وقع فيه الوصول أو اكتُشفت فيه الحادثة.

وفقًا لمراجعة DSHS، ربما اطّلع الموظف السابق على اسم المستفيد وتاريخ ميلاده ورقم الضمان الاجتماعي الخاص به ورقم المستفيد لدى DSHS والفئة العامة للخدمات التي تلقّاها. وتمثل هذه الحقول معلومات شخصية حساسة قد تُستخدم في سرقة الهوية أو محاولات الاستيلاء على الحسابات أو الهندسة الاجتماعية الموجّهة.

وذكرت الجهة صراحةً أنها لم تجد دليلًا على وصول الموظف إلى معلومات صحية محددة، مثل التشخيصات أو نتائج الفحوص أو العلاجات أو مطالبات التأمين الصحي أو الملاحظات في السجلات الطبية. ولذلك يذكر هذا السجل الفئة العامة للخدمات، لكنه لا يضيف أي تشخيص غير معلن أو سجل طبي مفصّل. ولم يتأكد تنزيل الملفات أو نقلها إلى خارج الجهة أو نشرها للعامة.

يمثل عدد الأشخاص المتأثرين أو السجلات الذي نشره المصدر الرسمي النطاق المبلّغ عنه للحادثة. ولا يعني ذلك أن كل فئة من فئات البيانات المعلن عنها تخص كل شخص. وقالت DSHS إنها اتخذت نهجًا احترازيًا بالتواصل مع كل مستفيد ربما اطّلع الموظف على معلوماته، حتى لو كان بعض عمليات الوصول قد ارتبط بالعمل.

لا يمثل العدد الإجمالي حالات إساءة استخدام مؤكدة، بل عدد الأشخاص المشمولين بالإخطار. ولا تقول المصادر إن كل حقل يخص كل شخص، ولا تثبت أن معلومات جميع الأشخاص البالغ عددهم 8,600 قد جرى الاطّلاع عليها بالفعل. لذلك لا يستحدث هذا السجل أعدادًا لمجموعات فرعية بحسب حقول البيانات، ولا يضيف أعداد المستندات أو الصفوف أو وقائع الوصول إلى عدد الأشخاص.

أنهت الجهة صلاحية وصول الموظف إلى أنظمة DSHS فور تحديد النشاط، وراجعت سجل إجراءاته السابقة. وقالت DSHS أيضًا إنها تعمل على تطبيق تدابير حماية إضافية، ومراجعة سياسات وإجراءات خصوصية البيانات وأمنها، والمساعدة في التحقيق المستمر الذي تجريه جهات إنفاذ القانون على مستوى الولاية والمستوى المحلي.

تؤكد HIPAA Journal أن الشخص لم يعد يعمل لدى DSHS، لكن المصادر لا تذكر ما إذا كان قد فُصل بسبب الحادثة أم غادر بطريقة أخرى. ولا ترتبط الحادثة بمهاجم خارجي أو برمجيات خبيثة أو مجموعة لبرمجيات الفدية أو موقع لنشر البيانات المسرّبة.

ينبغي لمتلقي الإشعار مراجعة نشاط حساباتهم لدى DSHS وكشوف الحسابات المصرفية وبطاقات الدفع والتقارير الائتمانية بانتظام بحثًا عن أي نشاط غير مألوف. وإذا ظهر نشاط مريب، فينبغي التواصل مع DSHS عبر قناة رسمية؛ وقد يكون من المناسب أيضًا تقديم بلاغات إلى لجنة التجارة الفيدرالية والمدعي العام لولاية واشنطن وجهات إنفاذ القانون المحلية.

يتطلب اجتماع رقم الضمان الاجتماعي وتاريخ الميلاد انتباهًا على المدى الطويل. وينبغي عدم مشاركة أرقام المستفيدين أو كلمات المرور أو تفاصيل الهوية عبر مكالمات أو رسائل نصية غير متوقعة أو روابط تزعم أنها تمثل DSHS؛ وينبغي بدء التواصل عبر الرقم الموثّق الوارد في الإشعار. وإذا ظهرت رسالة مريبة أو واقعة مريبة مرتبطة بالحساب، فينبغي التحقق منها عبر قناة التواصل الرسمية الحالية للجهة، دون استخدام الروابط الواردة في الرسالة.