Coastal Carolina Health Care में 2025 का डेटा उल्लंघन

प्रमुख साक्ष्य 24 मार्च 2026 की वह अधिसूचना है, जिसे Coastal Carolina Health Care के कानूनी प्रतिनिधि ने न्यू हैम्पशायर के अटॉर्नी जनरल को भेजा था। इसमें कहा गया है कि CCHC ने 28 मार्च 2025 को ऐसी असामान्य गतिविधि की पहचान की, जिससे कुछ प्रणालियों तक पहुँच बाधित हो रही थी, और एक स्वतंत्र साइबर सुरक्षा फ़र्म के साथ जाँच शुरू की। समीक्षा में केवल संभावित पहुँच का संकेत नहीं मिला, बल्कि यह पाया गया कि कुछ जानकारी तक बिना अनुमति पहुँच बनाई गई थी और उसे प्राप्त किया गया था।

HHS OCR की प्रविष्टि में संगठन को स्वास्थ्य सेवा प्रदाता के रूप में सूचीबद्ध किया गया है, घटना को हैकिंग/IT संबंधी घटना की श्रेणी में रखा गया है और जानकारी के स्थान के रूप में नेटवर्क सर्वर बताया गया है। इसमें दी गई 1,10,304 लोगों की कुल संख्या घटना का राष्ट्रीय स्तर का नियामक दायरा बताती है, जिसका उल्लेख राज्य को भेजे गए पत्र में नहीं था। SecurityWeek ने HHS की कुल संख्या और राज्य में दाखिल दस्तावेज़ की तुलना करके CCHC की घटना पर स्वतंत्र रूप से रिपोर्ट की।

जाँच में पाया गया कि किसी अज्ञात पक्ष ने 21 मार्च से 27 मार्च 2025 के बीच व्यक्तिगत और स्वास्थ्य जानकारी तक पहुँच बनाई और उसे प्राप्त किया। घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है, जिसे सार्वजनिक स्रोतों से सत्यापित किया जा सकता है। CCHC को 28 मार्च को असामान्य गतिविधि का पता चला। उसने अपना नेटवर्क सुरक्षित किया और घटना की प्रकृति निर्धारित करने के लिए फोरेंसिक जाँच शुरू की।

इसके बाद संगठन ने प्रभावित डेटा सेट और जिन लोगों को सूचना भेजी जानी थी, उनकी पहचान करने के लिए एक तृतीय-पक्ष समीक्षा सेवा का उपयोग किया। CCHC ने 26 फ़रवरी 2026 को प्रभाव के दायरे की पुष्टि की और संपर्क की पर्याप्त जानकारी प्राप्त की। उपभोक्ताओं को पत्र 23 मार्च 2026 को डाक से भेजे गए; लगभग एक वर्ष का यह अंतराल फ़ाइलों और पहचान की समीक्षा में लगे समय को दर्शाता है, न कि उस अवधि को जिसके दौरान अज्ञात पक्ष की पहुँच बनी रही।

नियामक पत्राचार में प्रभावित डेटा को व्यक्तिगत जानकारी और संरक्षित स्वास्थ्य जानकारी बताया गया है। न्यू हैम्पशायर के निवासियों के लिए इसमें स्पष्ट रूप से कहा गया है कि नामों के साथ सोशल सिक्योरिटी नंबर भी मौजूद हो सकते थे। CCHC ने उन लोगों को विशेष पहचान-सुरक्षा सेवाएँ देने की पेशकश भी की, जिनके सोशल सिक्योरिटी नंबर या ड्राइविंग लाइसेंस और राज्य द्वारा जारी पहचान-पत्र के नंबर प्रभावित हुए थे।

प्रभावित लोगों की संख्या, डेटा फ़ील्ड और हमलावरों के दावों से जुड़ी अपुष्ट जानकारी को घटना के सार्वजनिक रूप से बताए गए दायरे का हिस्सा नहीं माना जाता। यह भी नहीं माना जाता कि सभी 1,10,304 लोगों के लिए हर डेटा फ़ील्ड मौजूद था।

आधिकारिक विवरण में कहा गया है कि संवेदनशील जानकारी तक पहुँच बनाई गई और उसे प्राप्त किया गया था; बात केवल इस संभावना की नहीं है कि उसे देखा गया हो। यह निष्कर्ष इस संभावना को ठोस फोरेंसिक समर्थन देता है कि डेटा उस पक्ष के नियंत्रण में आ सकता था, और इस घटना को केवल प्रणाली ठप होने की घटना से अलग करता है। हालाँकि, दाखिल दस्तावेज़ इस बात की पुष्टि नहीं करता कि फ़ाइलें सार्वजनिक रूप से जारी की गई थीं या सभी डेटा फ़ील्ड बेचे गए थे।

सूचना भेजते समय CCHC ने कहा था कि उसके पास घटना में शामिल डेटा के दुरुपयोग का कोई साक्ष्य नहीं था। दुरुपयोग की जानकारी न होने से प्राप्त की गई पहचान और स्वास्थ्य जानकारी से जुड़े भविष्य के जोखिम समाप्त नहीं हो जाते। प्रभावित लोगों की संख्या, डेटा फ़ील्ड और हमलावरों के दावों से जुड़ी अपुष्ट जानकारी को घटना के सार्वजनिक रूप से बताए गए दायरे का हिस्सा नहीं माना जाता।

आधिकारिक स्रोत द्वारा प्रकाशित प्रभावित लोगों या रिकॉर्ड की संख्या घटना के बताए गए दायरे को दर्शाती है। इसका यह अर्थ नहीं है कि बताई गई हर डेटा श्रेणी प्रत्येक व्यक्ति पर लागू होती थी। राज्य के नियामक पत्र में उल्लिखित न्यू हैम्पशायर के 34 निवासी उस राष्ट्रीय कुल का एक छोटा, राज्य-स्तरीय हिस्सा हैं, न कि कोई अलग घटना या प्रभावित लोगों की अतिरिक्त संख्या। इस हिस्से को राष्ट्रीय संख्या में अलग से नहीं जोड़ा जाता।

लोगों की कुल संख्या प्राप्त की गई फ़ाइलों या डेटा फ़ील्ड की गिनती नहीं है। सोशल सिक्योरिटी, ड्राइविंग लाइसेंस और राज्य द्वारा जारी पहचान-पत्र के नंबर केवल संबंधित उपसमूहों पर लागू हो सकते हैं, जिनकी संख्या सार्वजनिक रूप से नहीं बताई गई थी।

CCHC ने उन लोगों को Cyberscout के माध्यम से 12 महीने की निःशुल्क क्रेडिट निगरानी, पहचान बहाली और पहचान की चोरी का बीमा देने की पेशकश की, जिनके सोशल सिक्योरिटी नंबर या ड्राइविंग लाइसेंस और राज्य द्वारा जारी पहचान-पत्र के नंबर प्रभावित हुए थे। सूचना पत्र पाने वालों को अपने पत्र में दी गई समय-सीमा और सेवा सक्रिय करने के निर्देशों का पालन करना चाहिए। संगठन ने FBI को भी सूचित किया और अतिरिक्त सुरक्षा नियंत्रण लागू किए।

क्रेडिट रिपोर्ट, वित्तीय खातों और स्वास्थ्य बीमा लाभों के विवरणों की नियमित जाँच करनी चाहिए, ताकि किसी अनजान लेन-देन, सेवा या दावे का पता चल सके। CCHC या किसी स्वास्थ्य सेवा प्रदाता के नाम पर मिलने वाले अप्रत्याशित भुगतान या सत्यापन संदेशों की पुष्टि किसी ज्ञात आधिकारिक माध्यम से करनी चाहिए।