Columbia Medical Practice में 2025 की डेटा सेंध

प्राथमिक स्रोत संगठन की सार्वजनिक साइबर सुरक्षा सूचना है, जिसे 26 नवंबर 2025 को अद्यतन किया गया था। इसमें 5 नवंबर को नेटवर्क तक पहुँच बनाने, फ़ाइलों को लॉक करने के लिए इस्तेमाल किए गए वायरस, उसी दिन फ़ाइलों की प्रतिलिपियाँ बनाए जाने, संभावित डेटा श्रेणियों और अप्रभावित इलेक्ट्रॉनिक स्वास्थ्य रिकॉर्ड सिस्टम के अलग होने का विवरण है। सूचना में सहायता के लिए 1-833-974-3375 नंबर भी दिया गया है।

दूसरा स्रोत HHS/OCR की 5 दिसंबर की आधिकारिक प्रविष्टि है, जिसमें 94,131 लोगों का उल्लेख है। मैसाचुसेट्स के अटॉर्नी जनरल द्वारा प्रकाशित 24 अप्रैल 2026 के उपभोक्ता पत्र में पुष्टि की गई है कि फ़ाइलों की समीक्षा 31 मार्च को पूरी हुई थी। इसमें व्यक्तियों को सूचना देने की प्रक्रिया और अतिरिक्त तकनीकी उपायों की भी पुष्टि की गई है। द्वितीयक रिपोर्टों में उल्लिखित हमलावर समूह का नाम आधिकारिक दस्तावेज़ों में नहीं है, इसलिए उसे यहाँ शामिल नहीं किया गया है।

Columbia Medical Practice ने कहा कि एक अज्ञात साइबर हमलावर ने उसके नेटवर्क के एक हिस्से तक पहुँच बनाई और एक कंप्यूटर वायरस डाला, जिसने कंप्यूटर सिस्टम पर फ़ाइलों को लॉक कर दिया। संगठन ने साइबर सुरक्षा विशेषज्ञों की मदद ली, नेटवर्क को सुरक्षित तरीके से बहाल किया और घटना की जाँच की। जाँच में पता चला कि हमलावर ने उसी दिन कंप्यूटर नेटवर्क से फ़ाइलों की प्रतिलिपियाँ बनाई थीं।

संगठन ने अपनी पहली सार्वजनिक सूचना उस समय प्रकाशित की, जब फ़ाइलों की समीक्षा अभी चल रही थी, ताकि घटना की जानकारी जल्द दी जा सके। बाद में जारी उपभोक्ता पत्र के अनुसार, प्रतिलिपि बनाई गई फ़ाइलों में किन लोगों की जानकारी और कौन-कौन से डेटा फ़ील्ड थे, यह पहचानने के लिए की गई गहन समीक्षा 31 मार्च 2026 को पूरी हुई। जिन व्यक्तियों के पते उपलब्ध थे, उन्हें 24 अप्रैल से सीधे पत्र भेजने की प्रक्रिया शुरू हुई।

व्यक्ति के आधार पर, प्रतिलिपि बनाई गई फ़ाइलों में नाम के साथ पता, फ़ोन नंबर, जन्मतिथि, सामाजिक सुरक्षा नंबर, ड्राइविंग लाइसेंस नंबर, पासपोर्ट नंबर या कोई अन्य सरकारी पहचान संख्या हो सकती थी। स्वास्थ्य संबंधी श्रेणियों में सेवाएँ दिए जाने के स्थान और तारीखें, उपचार या स्वास्थ्य स्थिति, निदान और निदान कोड, पर्चे पर लिखी दवाओं की जानकारी, चिकित्सा इतिहास और देखभाल के लिए निर्धारित चिकित्सक शामिल हैं।

भुगतान और बीमा संबंधी श्रेणियों में वित्तीय खाते का नंबर, लेकिन खाते तक पहुँचने के लिए सुरक्षा कोड, एक्सेस कोड या पासवर्ड नहीं; स्वास्थ्य बीमा के बीमाधारक का नंबर या पहचान नंबर; और मरीज़ का खाता नंबर शामिल हैं। यह सीमा महत्वपूर्ण है: वित्तीय खाते का नंबर शामिल हो सकता था, लेकिन खाते तक पहुँचने के कोड और पासवर्ड को उसी दायरे में शामिल नहीं बताया गया था। हर व्यक्ति के लिए हर डेटा फ़ील्ड मौजूद नहीं था।

Columbia Medical Practice ने स्पष्ट रूप से कहा कि उस समय उसका इलेक्ट्रॉनिक स्वास्थ्य रिकॉर्ड प्लेटफ़ॉर्म तार्किक रूप से अलग किए गए कंप्यूटर नेटवर्क परिवेश में रखा गया था और वह प्रभावित नहीं हुआ। इसका यह अर्थ नहीं है कि नेटवर्क से प्रतिलिपि बनाई गई फ़ाइलों में कोई स्वास्थ्य जानकारी नहीं थी; इसका अर्थ है कि केंद्रीय EHR प्लेटफ़ॉर्म नेटवर्क के प्रभावित हिस्से से अलग था।

लोगों की अपुष्ट संख्या, अपुष्ट डेटा फ़ील्ड और हमलावरों के अपुष्ट दावों को घटना के सार्वजनिक रूप से बताए गए दायरे का हिस्सा नहीं माना जाता। साथ ही, घटना को केवल पहुँच बनाने का प्रयास बताकर उसकी गंभीरता कम नहीं आँकी जाती, क्योंकि सार्वजनिक सूचना पुष्टि करती है कि फ़ाइलों की प्रतिलिपियाँ बनाई गई थीं। आधिकारिक स्रोत द्वारा प्रकाशित प्रभावित लोगों या रिकॉर्ड की संख्या घटना के बताए गए दायरे को दर्शाती है। इसका यह अर्थ नहीं है कि बताई गई हर डेटा श्रेणी हर व्यक्ति पर लागू होती थी।

SSN, जन्मतिथि और सरकारी पहचान संबंधी जानकारी का संयोजन किसी और की पहचान अपनाने, नया खाता खोलकर धोखाधड़ी करने, कर धोखाधड़ी या लाभों से जुड़ी धोखाधड़ी का जोखिम बढ़ा सकता है। निदान, पर्चे पर लिखी दवाओं, चिकित्सक और सेवाओं की तारीखों का विवरण ऐसे नकली स्वास्थ्य सेवा संदेश बनाने में मदद कर सकता है, जो विश्वसनीय लगें। बीमा और मरीज़ के खाता नंबरों का इस्तेमाल धोखाधड़ी वाले दावों, बिलों या भुगतान सूचनाओं को विश्वसनीय संदर्भ देने के लिए किया जा सकता है।

सूचना पाने वालों को क्रेडिट रिपोर्ट और वित्तीय विवरणों के साथ-साथ बीमा लाभों के विवरण वाले दस्तावेज़ों, पर्चे पर दी गई दवाओं के इतिहास और मरीज़ के खाते में अप्रत्याशित गतिविधियों की समीक्षा करनी चाहिए। Columbia Medical Practice या किसी चिकित्सक की ओर से होने का दावा करने वाले संदेश के लिंक के बजाय संस्था के किसी ज्ञात संपर्क माध्यम का इस्तेमाल करें। अपना पूरा SSN, पासवर्ड, एक्सेस कोड या एक बार इस्तेमाल होने वाला कोड न दें, और भुगतान न करें।

Columbia Medical Practice ने कहा कि उसने समस्याएँ दूर कीं और अपने नेटवर्क की सुरक्षा की पुष्टि की, साइबर सुरक्षा विशेषज्ञों के साथ फ़ाइलों की समीक्षा की तथा अतिरिक्त तकनीकी उपाय और प्रक्रियाएँ लागू कीं। उसने साइबर ऑडिट की प्रथाओं, नीतियों और प्रक्रियाओं की भी समीक्षा की। बाद में भेजे गए व्यक्तिगत पत्र में कहा गया है कि पहचान की निगरानी की निःशुल्क सेवाएँ उपलब्ध कराई गई थीं; नामांकन का विवरण प्रत्येक प्राप्तकर्ता के पत्र में है।

प्रश्नों के लिए सार्वजनिक सहायता नंबर 1-833-974-3375 सोमवार से शुक्रवार तक ईस्टर्न समय के अनुसार सुबह 8:00 बजे से रात 8:00 बजे तक उपलब्ध है। यदि क्रेडिट संबंधी कोई अपरिचित गतिविधि दिखे, तो धोखाधड़ी की चेतावनी दर्ज कराना या मुफ़्त क्रेडिट फ़्रीज़ लगवाना उचित हो सकता है। स्वास्थ्य सेवा या बीमा से जुड़ी संदिग्ध प्रविष्टियों की पुष्टि सीधे सेवा प्रदाता और बीमा कंपनी से करनी चाहिए। किसी व्यक्ति की जानकारी किस हद तक प्रभावित हुई है, इसका आकलन करने के लिए सामान्य सूची की तुलना में उस व्यक्ति को भेजे गए पत्र में बताए गए डेटा फ़ील्ड अधिक उपयोगी हैं।