Concord Orthopaedics में 2024 की डेटा सेंध

संगठन का आधिकारिक नोटिस Concord Orthopaedics, तीसरे पक्ष के मरीज-पंजीकरण सॉफ़्टवेयर, 21 नवंबर 2024 की सूचना मिलने की तारीख और संभावित रूप से प्रभावित डेटा के प्रकारों को एक ही घटना से जोड़ता है। HHS OCR की प्रविष्टि भी संगठन, प्रभावित लोगों की कुल संख्या 72,815 और रिपोर्ट की तारीख 25 मार्च 2025 की पुष्टि करती है।

घटना की स्वतंत्र समीक्षाएँ आधिकारिक नोटिस के विवरण और नियामक रिकॉर्ड में दर्ज कुल संख्या 72,815 को इसी सेंध से जोड़ती हैं। सार्वजनिक स्रोत यह नहीं बताते कि अनधिकृत पहुँच ठीक कब शुरू हुई या समाप्त हुई। इसलिए यहाँ 21 नवंबर को संगठन को सूचना मिलने की तारीख माना गया है, न कि हमले की सटीक तारीख के रूप में प्रस्तुत किया गया है।

21 नवंबर को Concord Orthopaedics को पता चला कि किसी अनधिकृत व्यक्ति ने तीसरे पक्ष के सॉफ़्टवेयर तक पहुँच हासिल की हो सकती है। इस सॉफ़्टवेयर का इस्तेमाल मरीजों और संभावित मरीजों के पंजीकरण तथा अपॉइंटमेंट पर उनके आगमन को दर्ज करने के लिए किया जाता था। संगठन ने पहुँच बंद कर दी, सॉफ़्टवेयर के पासवर्ड रीसेट किए और घटना की प्रकृति की जाँच के लिए बाहरी साइबर सुरक्षा विशेषज्ञों की सहायता ली।

जाँच में पाया गया कि अनधिकृत पक्ष ने सॉफ़्टवेयर तक पहुँच हासिल की थी और वहाँ संग्रहीत पंजीकरण तथा अपॉइंटमेंट के लिए दर्ज जानकारी को देखा या हासिल किया हो सकता है। Concord Orthopaedics के आंतरिक परिवेश या इलेक्ट्रॉनिक स्वास्थ्य रिकॉर्ड प्रणाली में सेंध लगने का कोई प्रमाण नहीं मिला। स्वास्थ्य रिकॉर्ड प्रणाली एक अलग एप्लिकेशन में होस्ट की गई थी।

व्यक्ति के आधार पर, इस जानकारी में नाम, जन्मतिथि, सामाजिक सुरक्षा नंबर, ड्राइविंग लाइसेंस या राज्य द्वारा जारी पहचान-पत्र के नंबर और कुछ लोगों के पहचान दस्तावेज़ों की तस्वीरें शामिल हो सकती थीं। प्रभावित अपॉइंटमेंट डेटा के जिन प्रकारों का उल्लेख किया गया, उनमें अपॉइंटमेंट का प्रकार, डॉक्टर का नाम और अपॉइंटमेंट की तारीख तथा स्थान शामिल थे।

स्वास्थ्य बीमा संबंधी जानकारी में स्वास्थ्य योजना के लाभार्थी का नंबर, स्वास्थ्य योजना का नंबर और बीमा पात्रता की जानकारी शामिल हो सकती थी। ईमेल पते, पासवर्ड, भुगतान कार्ड और बैंक खाते इस रिकॉर्ड में शामिल नहीं हैं, क्योंकि घटना का आधिकारिक नोटिस इन डेटा प्रकारों की पुष्टि नहीं करता।

पहचान नंबरों के साथ चिकित्सा अपॉइंटमेंट और बीमा संबंधी विवरण उपलब्ध होने से पहचान की चोरी, धोखाधड़ी वाले बीमा दावों और लक्षित ठगी का जोखिम बढ़ सकता है। सामाजिक सुरक्षा और ड्राइविंग लाइसेंस के नंबर बदलना कठिन होता है, इसलिए उनका दुरुपयोग मूल घटना के बहुत बाद भी सामने आ सकता है।

जिस व्यक्ति को किसी वास्तविक अपॉइंटमेंट के प्रकार, डॉक्टर के नाम या बीमा संबंधी विवरण का पता हो, वह ऐसा संदेश तैयार कर सकता है जो विश्वसनीय लगे। इन विवरणों का होना इस बात का प्रमाण नहीं है कि कॉल करने वाला व्यक्ति Concord Orthopaedics, किसी डॉक्टर या किसी बीमा कंपनी का प्रतिनिधि है। अप्रत्याशित अनुरोधों की पुष्टि किसी स्वतंत्र माध्यम से की जानी चाहिए।

Concord Orthopaedics ने तीसरे पक्ष के सॉफ़्टवेयर तक पहुँच बंद की, पासवर्ड रीसेट किए, बाहरी साइबर सुरक्षा विशेषज्ञों की मदद से जाँच की और संघीय कानून प्रवर्तन एजेंसियों को सूचित किया। संगठन ने यह भी कहा कि वह तीसरे पक्ष के विक्रेताओं से संबंधित अपनी प्रक्रियाओं और नीतियों की समीक्षा कर रहा था।

प्रभावित लोगों को सूचित किया गया और पात्र व्यक्तियों को पहचान-सुरक्षा सेवाओं की पेशकश की गई। आधिकारिक नोटिस केवल तीसरे पक्ष के पंजीकरण सॉफ़्टवेयर से जुड़ी घटना की पुष्टि करता है। इसमें शुरुआती पहुँच हासिल करने के तरीके, किसी तकनीकी सुरक्षा खामी या पहुँच की सटीक अवधि का खुलासा नहीं किया गया है।

जिन लोगों को नोटिस मिला है, उन्हें अपनी क्रेडिट रिपोर्ट, वित्तीय खातों और स्वास्थ्य बीमा के विवरण-पत्रों की नियमित समीक्षा करनी चाहिए, ताकि ऐसे खातों, लेन-देन, अपॉइंटमेंट या दावों का पता चल सके जिन्हें वे नहीं पहचानते। संदिग्ध प्रविष्टियों की सूचना संबंधित वित्तीय संस्था, स्वास्थ्य बीमा कंपनी और आवश्यकता पड़ने पर उपयुक्त अधिकारियों को देनी चाहिए।

अप्रत्याशित ईमेल, संदेश या कॉल में सामाजिक सुरक्षा नंबर, बीमा संबंधी जानकारी, पासवर्ड और एक बार इस्तेमाल होने वाले सत्यापन कोड साझा नहीं करने चाहिए। यदि कोई अनुरोध Concord Orthopaedics की ओर से होने का दावा करता है, तो उसकी पुष्टि आधिकारिक वेबसाइट पर दी गई संपर्क जानकारी से करनी चाहिए, न कि संदेश में दिए गए लिंक या फोन नंबर से।