Archer Health 2025 डेटा उल्लंघन

प्राथमिक स्रोत Archer Health की अपनी वेबसाइट पर प्रकाशित “डेटा गोपनीयता संबंधी घटना की सूचना” है। इसमें 7 सितंबर की तारीख, तृतीय-पक्ष प्रदाता के सर्वर पर अनधिकृत पहुँच, Archer की प्रणालियों के अप्रभावित रहने, संभावित डेटा फ़ील्ड, पहचान की निगरानी, प्रदाता के साथ संबंध समाप्त करने और सहायता के लिए 833-779-5787 नंबर का उल्लेख है।

दूसरा स्रोत HHS/OCR की 6 नवंबर की आधिकारिक प्रविष्टि है, जिसमें 4,285 लोगों का उल्लेख है। डेटा में सेंध की जानकारी का सार्वजनिक स्रोत का घटना संबंधी पृष्ठ भी इसी संगठन की सूचना और HHS की कुल संख्या से जुड़ा है।

Archer को 7 सितंबर को पता चला कि उसकी कुछ प्रणालियों के संचालन में सहायता करने वाले एक IT सेवा प्रदाता के यहाँ साइबर सुरक्षा घटना हुई थी। एक अनधिकृत व्यक्ति ने प्रदाता के उस सर्वर तक पहुँच हासिल की थी, जहाँ मरीजों का डेटा संग्रहीत था। Archer ने कहा कि घटना का पता चलने के बाद उसने साइबर सुरक्षा विशेषज्ञों के साथ जाँच शुरू की और घटना को सीमित करने तथा मरीजों की जानकारी सुरक्षित रखने के लिए कदम उठाए।

संगठन ने यह नहीं बताया कि अनधिकृत व्यक्ति ने पहली बार कब पहुँच हासिल की, यह पहुँच कितने समय तक बनी रही या किस तकनीकी तरीके का इस्तेमाल हुआ। घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है जिसकी पुष्टि सार्वजनिक स्रोतों से की जा सकती है। 6 नवंबर सूचना देने के चरण की तारीख है, जब मरीजों को पत्र डाक से भेजने शुरू किए गए और HHS को रिपोर्ट दी गई।

आधिकारिक सूचना में स्पष्ट रूप से कहा गया है कि घटना में Archer Health की अपनी प्रणालियाँ या नेटवर्क शामिल नहीं थे। प्रभावित तकनीकी परिवेश तृतीय-पक्ष IT प्रदाता का सर्वर था। Archer के नाम से रिपोर्ट किए गए स्वास्थ्य सेवा संबंधी डेटा उल्लंघन के तकनीकी स्रोत को समझने के लिए यह अंतर महत्वपूर्ण है।

सूचना में यह नहीं कहा गया है कि Archer के नेटवर्क में सेंध लगी थी या उसकी प्रणालियों को एन्क्रिप्ट किया गया था। प्रदाता के यहाँ हुई इस घटना की रिपोर्ट Archer ने इसलिए की, क्योंकि उसकी सेवाओं से जुड़ा मरीजों का डेटा प्रभावित हुआ था।

Archer की जाँच के अनुसार, फ़ाइलों में मौजूद जानकारी हर व्यक्ति के लिए अलग थी, लेकिन उनमें नाम, जन्मतिथि, सोशल सिक्योरिटी नंबर और मरीज को मिली स्वास्थ्य सेवाओं से जुड़ी सीमित चिकित्सकीय जानकारी शामिल हो सकती थी। यह नहीं मानना चाहिए कि हर व्यक्ति की फ़ाइल में प्रत्येक फ़ील्ड मौजूद था या सारी जानकारी का दुरुपयोग हुआ था।

यह तय करने के लिए कि प्रत्येक मरीज से कौन-से डेटा फ़ील्ड जुड़े थे, उसे भेजा गया व्यक्तिगत पत्र प्राथमिक स्रोत है। किसी अप्रत्याशित संदेश के जवाब में अतिरिक्त संवेदनशील जानकारी नहीं देनी चाहिए, भले ही उस संदेश में इस घटना का नाम लिया गया हो।

4,285 HHS/OCR पोर्टल पर प्रकाशित प्रभावित व्यक्तियों की संख्या है; यह फ़ाइलों, डेटा की पंक्तियों या प्रदाता के खातों की संख्या नहीं है। आधिकारिक स्रोत में प्रकाशित प्रभावित व्यक्तियों या रिकॉर्ड की संख्या घटना के बताए गए दायरे को दर्शाती है। इसका यह अर्थ नहीं है कि बताई गई हर डेटा श्रेणी प्रत्येक व्यक्ति पर लागू होती थी।

संगठन की सूचना में कुल संख्या प्रकाशित नहीं की गई है, इसलिए आधिकारिक कुल संख्या संघीय नियामक की प्रविष्टि से ली गई है। यदि प्रदाता की इसी घटना के कारण अन्य ग्राहकों के लिए अलग सूचनाएँ जारी होती हैं, तो साक्ष्य के बिना उनकी संख्याएँ Archer की कुल संख्या में नहीं जोड़ी जातीं। प्रत्येक ग्राहक से जुड़ी घटना का मूल्यांकन उसके अपने आधिकारिक नियामकीय दायरे के आधार पर किया जाना चाहिए।

Archer ने कहा कि उसने तृतीय-पक्ष प्रदाता के साथ अपना संबंध समाप्त कर दिया और सेवा प्रदाताओं की सुरक्षा तथा निगरानी के लिए नियंत्रणों को मजबूत किया। जिन मरीजों के सोशल सिक्योरिटी नंबर शामिल होने की आशंका थी, उन्हें पहचान की निगरानी की निःशुल्क सेवा की पेशकश की गई। संगठन ने यह भी सलाह दी कि स्वास्थ्य सेवाओं के विवरणों में ऐसे शुल्कों की जाँच करें जो उन सेवाओं के लिए लगाए गए हों जो मिली ही नहीं थीं।

833-779-5787 पर टोल-फ़्री कॉल सेंटर सोमवार से शुक्रवार, प्रशांत समय के अनुसार सुबह 6:00 बजे से शाम 6:00 बजे तक उपलब्ध है। सूचना पाने वाले लोगों को निगरानी सेवा में पंजीकरण की शर्तों के लिए अपने पत्र देखने चाहिए, स्वास्थ्य सेवाओं के विवरणों की समीक्षा करनी चाहिए और अपरिचित सेवाओं की पुष्टि स्वास्थ्य सेवा संस्था या बीमा कंपनी से करनी चाहिए। पूरा SSN, पासवर्ड या एक बार इस्तेमाल होने वाला कोड साझा नहीं करना चाहिए। यदि कोई संदिग्ध संदेश मिले या खाते में कोई संदिग्ध गतिविधि दिखे, तो संदेश में दिए गए लिंक का इस्तेमाल किए बिना संगठन के मौजूदा आधिकारिक संपर्क माध्यम से उसकी पुष्टि करनी चाहिए। जब किसी व्यक्ति को भेजा गया सूचना पत्र उपलब्ध हो, तो उस व्यक्ति के डेटा के दायरे और पेश किए गए सुरक्षा विकल्पों के लिए वही प्राथमिक स्रोत है। तारीखों और डेटा श्रेणियों के बारे में निष्कर्ष केवल उतनी ही सीमा तक निकाले जाने चाहिए, जितनी सार्वजनिक स्रोतों से समर्थित हो; जिन विवरणों का खुलासा नहीं किया गया है, उन्हें पुष्ट नहीं मानना चाहिए। क्रेडिट, वित्तीय और स्वास्थ्य सेवा से जुड़े खातों की नियमित समीक्षा से संभावित दुरुपयोग का जल्दी पता लगाने में मदद मिल सकती है।