Cary Pediatric Center में 2025 का डेटा उल्लंघन

प्राथमिक स्रोत संस्था की अपनी वेबसाइट पर उपलब्ध “डेटा सुरक्षा घटना की सूचना” PDF है। इसमें 19 सितंबर को घटना का पता चलने, नेटवर्क में घटना के फैलाव को रोकने, विशेषज्ञों की फ़ॉरेंसिक समीक्षा, दायरा कॉल की रिकॉर्डिंग तक सीमित होने, इलेक्ट्रॉनिक मेडिकल रिकॉर्ड प्रभावित न होने, संभावित डेटा फ़ील्ड, 12 महीने की सुरक्षा सेवाओं और 855-522-4713 सहायता नंबर का विवरण दिया गया है।

दूसरा स्रोत HHS/OCR की 17 नवंबर की आधिकारिक प्रविष्टि है, जिसमें 25,784 लोगों का उल्लेख है। संस्था का मौजूदा होमपेज उसी संस्था और डोमेन की पुष्टि करता है और “डेटा संबंधी घटना की सूचना” के अंतर्गत घटना की आधिकारिक PDF का सीधा लिंक देता है। इस तरह दो प्राथमिक रिकॉर्ड के ज़रिए घटना, व्यक्तियों की कुल संख्या और संस्था की पहचान का मिलान किया गया है।

Cary Pediatric को लगभग 19 सितंबर को पता चला कि उसे नेटवर्क सुरक्षा से जुड़ी एक घटना में निशाना बनाया गया था। जब एक अनधिकृत तीसरे पक्ष ने नेटवर्क में घुसपैठ करने का प्रयास किया, तो संस्था ने नेटवर्क को सुरक्षित किया और संभावित अनधिकृत पहुँच का दायरा निर्धारित करने के लिए फ़ॉरेंसिक घटना-प्रतिक्रिया में विशेषज्ञता रखने वाली एक फ़र्म की सेवाएँ लीं। सार्वजनिक दस्तावेज़ में शुरुआती तरीके या घटना को अंजाम देने वाले की पहचान का खुलासा नहीं किया गया है।

जाँच में पाया गया कि कुछ व्यक्तिगत जानकारी की सुरक्षा भंग हुई हो सकती है। इसमें स्पष्ट रूप से कहा गया है कि संबंधित संवेदनशील डेटा मरीज़ों और कार्यालय के बीच हुई बातचीत की ऑडियो रिकॉर्डिंग तक सीमित था और इलेक्ट्रॉनिक मेडिकल रिकॉर्ड प्रभावित नहीं हुए थे। इसलिए यह रिकॉर्ड यह निष्कर्ष नहीं निकालता कि मरीज़ों की सामान्य फ़ाइलें या पूरा EMR डेटाबेस उजागर हुआ था।

PDF के शीर्ष भाग में “19 फ़रवरी 2025” लिखा है, जबकि घटना के विवरण में उसके पता चलने की तारीख 19 सितंबर 2025 बताई गई है। शीर्ष भाग की तारीख घटना से पहले की है, इसलिए इससे सुसंगत घटनाक्रम नहीं बनता।

घटना और उसके पता चलने की तारीख के लिए संस्था के 19 सितंबर 2025 के बयान का उपयोग किया गया है, जबकि व्यक्तियों की आधिकारिक संख्या और नियामक रिपोर्टिंग के चरण के लिए HHS/OCR की 17 नवंबर 2025 की प्रविष्टि का उपयोग किया गया है। इस तरीके में दस्तावेज़ की स्पष्ट विसंगति को छिपाए बिना सत्यापन योग्य तारीखों का इस्तेमाल किया गया है। बिना साक्ष्य के कोई अतिरिक्त तारीख या वर्ष 2026 नहीं जोड़ा गया है।

आधिकारिक सूचना में संभावित रूप से उजागर हुई जानकारी के रूप में नाम, जन्मतिथियाँ और संरक्षित स्वास्थ्य जानकारी सूचीबद्ध हैं। इसमें कहा गया है कि जानकारी के प्रकार हर व्यक्ति के लिए अलग थे और हर व्यक्ति की सभी सूचीबद्ध जानकारियाँ उजागर नहीं हुई थीं। PHI को निदान, दवा, प्रक्रिया, बीमा या भुगतान जैसे अधिक विशिष्ट फ़ील्ड में नहीं बाँटा गया है, इसलिए यह रिकॉर्ड उन विवरणों का अनुमान नहीं लगाता।

प्रभावित माध्यम टेलीफ़ोन कॉल की रिकॉर्डिंग थीं। किसी कॉल के दौरान संभवतः साझा की गई जानकारी, मरीज़ की इलेक्ट्रॉनिक फ़ाइल में संग्रहीत पूरी जानकारी के बराबर नहीं होती। इसलिए डेटा श्रेणियाँ आधिकारिक सूचना में बताए गए नाम, जन्मतिथि और PHI तक सीमित हैं, और यह रिकॉर्ड इलेक्ट्रॉनिक मेडिकल रिकॉर्ड को प्रभावित नहीं बताता।

25,784 HHS/OCR पोर्टल पर प्रकाशित प्रभावित व्यक्तियों की संख्या है; यह ऑडियो रिकॉर्डिंग, कॉल या फ़ाइलों की संख्या नहीं है। आधिकारिक स्रोत में प्रकाशित प्रभावित व्यक्तियों या रिकॉर्ड की संख्या घटना के बताए गए दायरे को दर्शाती है। इसका यह अर्थ नहीं है कि बताई गई हर डेटा श्रेणी हर व्यक्ति पर लागू होती थी।

HHS में दी गई 17 नवंबर की तारीख नियामक को रिपोर्ट करने की तारीख है, घटना की तारीख नहीं। संस्था ने डाक से सूचना प्राप्त करने वाले लोगों या रिकॉर्ड की गई कॉल की संख्या अलग से प्रकाशित नहीं की है।

Cary Pediatric ने कहा कि उसने नेटवर्क को सुरक्षित किया, IT विशेषज्ञों के साथ जाँच की, तकनीकी सुरक्षा उपायों की समीक्षा करके उन्हें बेहतर बनाया और सभी संभावित रूप से प्रभावित व्यक्तियों के लिए 12 महीने की निःशुल्क क्रेडिट निगरानी और पहचान की चोरी से सुरक्षा की व्यवस्था की। सूचना जारी करते समय उसने कहा था कि उसे जानकारी के दुरुपयोग या उससे संबंधित पहचान की चोरी की कोई रिपोर्ट नहीं मिली थी।

855-522-4713 पर सहायता सेवा सप्ताह के कार्यदिवसों में Eastern Time के अनुसार सुबह 8:00 बजे से रात 8:00 बजे तक उपलब्ध है। सूचना प्राप्त करने वाले व्यक्ति को अपने मामले में प्रभाव का दायरा और सेवाओं में नामांकन के निर्देश जानने के लिए अपनी सूचना पर भरोसा करना चाहिए। किसी अप्रत्याशित कॉल या संदेश में जन्मतिथि, स्वास्थ्य जानकारी, पासवर्ड, भुगतान का विवरण या एक बार इस्तेमाल होने वाला कोड नहीं देना चाहिए। संदिग्ध स्वास्थ्य रिकॉर्ड की पुष्टि सीधे क्लिनिक से करनी चाहिए। यदि कोई संदिग्ध संदेश मिले या खाते में कोई संदिग्ध घटना दिखे, तो संदेश में दिए गए लिंक का उपयोग किए बिना संस्था के मौजूदा आधिकारिक संपर्क माध्यम से उसकी पुष्टि करनी चाहिए।