Brevard Skin and Cancer Center में 2025 का डेटा उल्लंघन

घटना का मुख्य विवरण Brevard की सार्वजनिक सुरक्षा सूचना में दिया गया है। समीक्षा के समय कंपनी के मूल पृष्ठ पर 404 त्रुटि मिली, लेकिन सहेजी गई PDF से 14 अक्टूबर को घटना का पता चलने, लगभग 28 सितंबर को पहुँच बनाए जाने, डेटा की श्रेणियों, FBI को सूचना देने और IDX सहायता लाइन की पुष्टि होती है। सूचना में स्पष्ट रूप से कहा गया है कि प्रणालियों से कुछ डेटा बाहर निकाला गया था।

दूसरा स्रोत 54,570 लोगों से संबंधित आधिकारिक HHS/OCR रिकॉर्ड है। Massachusetts Attorney General द्वारा प्रकाशित 26 दिसंबर का उपभोक्ता पत्र भी स्वतंत्र रूप से मरीज़ों के डेटा के प्रकारों, घटना की तारीखों और 24 महीनों की IDX सेवाओं का समर्थन करता है। आधिकारिक दस्तावेज़ किसी हमलावर के नाम या 1.8 टेराबाइट डेटा की पुष्टि नहीं करते, इसलिए द्वितीयक स्रोतों के इन दावों को शामिल नहीं किया गया है।

14 अक्टूबर को घटना का पता चलने के बाद Brevard ने साइबर सुरक्षा विशेषज्ञों की सेवाएँ लीं, घटना को सीमित करने के लिए कदम उठाए और अपने इलेक्ट्रॉनिक परिवेश में सुधार करना शुरू किया। जाँच में पाया गया कि एक अनधिकृत तीसरे पक्ष ने 28 सितंबर को या उसके आसपास कुछ डेटा प्रणालियों तक पहुँच बनाई थी। कंपनी ने कहा कि वह प्रभावित लोगों और उस जानकारी के प्रकारों की पहचान करने के लिए सामग्री का विश्लेषण जारी रखे हुए थी, जिस तक पहुँच बनाई गई थी।

सार्वजनिक विवरण में यह नहीं बताया गया है कि पहुँच ठीक कब समाप्त हुई, शुरुआती पहुँच किस तरीके से बनाई गई या अनधिकृत पक्ष की पहचान क्या थी। हालाँकि, इसमें कुछ डेटा बाहर निकाले जाने की पुष्टि की गई है। इस कारण यह घटना उन घटनाओं से अलग है जिनमें केवल संभावित पहुँच की बात कही जाती है। सूचना में यह भी कहा गया है कि घटना से सेवाएँ बाधित नहीं हुईं और मरीज़ों की देखभाल में बाधा नहीं आएगी।

वर्तमान या पूर्व मरीज़ों के लिए संभावित रूप से शामिल जानकारी में पूरा नाम, जन्मतिथि, घर का पता, सामाजिक सुरक्षा नंबर, फ़ोन नंबर, रोग का निदान और चिकित्सकीय जानकारी, ईमेल पता, तथा बिलिंग और दावों से जुड़ी जानकारी है। मैसाचुसेट्स के उपभोक्ता पत्र में भी मरीज़ों की जानकारी की यही श्रेणियाँ दी गई हैं। यह नहीं मानना चाहिए कि हर व्यक्ति के लिए इन सभी प्रकार की जानकारी मौजूद थी।

वर्तमान या पूर्व कर्मचारियों के लिए संभावित दायरे में पूरा नाम, जन्मतिथि, घर का पता, SSN, फ़ोन नंबर, FMLA फ़ॉर्म में दर्ज स्वास्थ्य स्थिति और ईमेल पता शामिल हैं। Brevard ने अलग से कहा कि उसका मानना है कि इस जानकारी में वित्तीय खाते के नंबर, बैंकिंग जानकारी या क्रेडिट अथवा डेबिट कार्ड का विवरण शामिल नहीं था। इन बाहर रखी गई श्रेणियों को यहाँ उजागर हुए डेटा के रूप में प्रस्तुत नहीं किया गया है।

54,570 लोगों की वह वर्तमान आधिकारिक कुल संख्या है जो 12 दिसंबर 2025 को HHS/OCR पोर्टल पर प्रकाशित की गई थी। 53,255 का आँकड़ा घटना से संबंधित एक द्वितीयक पृष्ठ पर दिया गया है, जो पहली बार 10 दिसंबर को, यानी HHS प्रविष्टि से दो दिन पहले प्रकाशित हुआ था। आधिकारिक स्रोत द्वारा प्रकाशित प्रभावित व्यक्तियों या रिकॉर्ड की संख्या घटना के रिपोर्ट किए गए दायरे को दर्शाती है। इसका यह अर्थ नहीं है कि बताई गई हर डेटा श्रेणी हर व्यक्ति पर लागू होती थी।

इन दोनों आँकड़ों को जोड़ा नहीं गया है और इनके आधार पर डेटा उल्लंघन की अलग-अलग प्रविष्टियाँ नहीं बनाई गई हैं। ये अलग-अलग समय पर एक ही घटना के दायरे को मापने वाले आँकड़े हैं। यहाँ प्रभावित लोगों की HHS द्वारा प्रकाशित वर्तमान आधिकारिक कुल संख्या (54,570) का उपयोग किया गया है।

नाम, जन्मतिथि, पता और SSN का एक साथ उपलब्ध होना किसी और की पहचान का इस्तेमाल करने, नया खाता खोलकर धोखाधड़ी करने, कर संबंधी धोखाधड़ी या लाभों से जुड़ी धोखाधड़ी का जोखिम बढ़ा सकता है। रोग के निदान, चिकित्सकीय जानकारी, बिलिंग और दावों के विवरण का इस्तेमाल भरोसेमंद लगने वाले फ़र्ज़ी स्वास्थ्य सेवा संदेश बनाने में किया जा सकता है। सूचना प्राप्त करने वालों को अपनी क्रेडिट रिपोर्ट के साथ-साथ बीमा लाभों का विवरण देने वाले दस्तावेज़ों और अनपेक्षित चिकित्सा बिलों पर भी नज़र रखनी चाहिए।

Brevard या किसी परिचित क्लिनिक कर्मचारी की ओर से आया हुआ दिखने वाला संदेश अपने-आप प्रामाणिक नहीं हो जाता, भले ही उसमें किसी वास्तविक निदान या बिलिंग विवरण का उल्लेख हो। संदेश में दिए गए लिंक के बजाय सेवा प्रदाता की ज्ञात वेबसाइट या फ़ोन नंबर का उपयोग करें। पासवर्ड, पूरा SSN या एक बार इस्तेमाल होने वाला कोड साझा न करें और कोई भुगतान न करें। यदि क्रेडिट से जुड़ी कोई अपरिचित गतिविधि दिखाई दे, तो धोखाधड़ी संबंधी अलर्ट लगवाना या निःशुल्क क्रेडिट फ़्रीज़ करवाना उचित हो सकता है।

Brevard ने कहा कि उसने घटना को सीमित कर अपने परिवेश को सुरक्षित किया, प्रभावित प्रणालियों की समीक्षा के लिए IT और साइबर सुरक्षा टीमों के साथ काम किया, डेटा की अखंडता का मूल्यांकन किया और सुरक्षा उपायों को मज़बूत किया। उसने FBI और संबंधित नियामकों को मामले की सूचना दी। कंपनी ने नेटवर्क की सुरक्षा के लिए अतिरिक्त उपायों पर विचार करते हुए गोपनीयता और सुरक्षा संबंधी नीतियों और प्रक्रियाओं की भी समीक्षा की।

प्रभावित लोगों को IDX के माध्यम से 24 महीनों के लिए तीन क्रेडिट ब्यूरो की क्रेडिट निगरानी, CyberScan, पहचान बहाली और अन्य सुरक्षा सेवाओं की पेशकश की गई। सामान्य सूचना में नामांकन की अंतिम तिथि 13 फ़रवरी दी गई है, जबकि बाद में जारी मैसाचुसेट्स के व्यक्तिगत पत्र में 26 मार्च 2026 दी गई है। इसलिए सूचना प्राप्त करने वालों को अपने पत्र में दी गई तारीख का पालन करना चाहिए। 1-833-779-4803 पर सहायता लाइन कार्यदिवसों में Eastern समय के अनुसार सुबह 9:00 बजे से रात 9:00 बजे तक उपलब्ध है।