Covenant Health में 2025 का डेटा उल्लंघन

Covenant Health के आधिकारिक “डेटा सुरक्षा घटना की सूचना” पृष्ठ पर अनधिकृत पक्ष के IT परिवेश में प्रवेश की तारीख, घटना का पता चलने की तारीख, मरीज़ों की जानकारी तक पहुँच की पुष्टि और प्रभावित डेटा फ़ील्ड प्रकाशित हैं। संगठन ने कहा कि उसने 11 जुलाई 2025 को उन व्यक्तियों को डाक से पत्र भेजना शुरू किया था जिनके प्रभावित होने की जानकारी उसे थी। उसने यह भी कहा कि डेटा की विस्तृत समीक्षा में और मरीज़ों की पहचान होने पर उन्हें अतिरिक्त सूचनाएँ भेजी जाएँगी।

मेन के अटॉर्नी जनरल के पास दाखिल अद्यतन रिपोर्ट में अंतिम दायरा बढ़कर 4,78,188 लोगों तक पहुँचने का विवरण दिया गया है। SecurityWeek ने कंपनी की सूचना और शुरुआती रिपोर्ट के 7,800 लोगों से संख्या बढ़ने, दोनों के बारे में स्वतंत्र रूप से रिपोर्ट किया। स्रोत इस बात पर सहमत हैं कि मरीज़ों की जानकारी तक वास्तव में पहुँच हासिल की गई थी। Qilin समूह का 850 GB और 13 लाख फ़ाइलों का दावा कंपनी द्वारा पुष्ट व्यक्तियों की कुल संख्या नहीं है, और इसे रिकॉर्ड की संख्या के रूप में इस्तेमाल नहीं किया गया है।

फॉरेंसिक जाँच में पता चला कि अनधिकृत पक्ष ने 18 मई 2025 को Covenant Health के परिवेश तक पहुँच हासिल की थी। संगठन को 26 मई को असामान्य गतिविधि के बारे में चेतावनी मिली। उसने घटना के स्रोत की जाँच करते हुए सिस्टम सुरक्षित करने और उन्हें बहाल करने का काम शुरू किया। पहली सार्वजनिक सूचना और पत्र 11 जुलाई को जारी किए गए, जब प्रभावित जानकारी और लोगों की समीक्षा अभी चल रही थी।

दिसंबर में डेटा की विस्तृत समीक्षा पूरी होने पर प्रभावित बताए गए लोगों की संख्या में काफ़ी वृद्धि हुई। मेन में 31 दिसंबर के अद्यतन में 4,78,188 लोग दर्ज हैं। यह घटनाक्रम दिखाता है कि शुरुआती सूचना में केवल वे लोग शामिल हो सकते हैं जिनके प्रभावित होने की पुष्टि उस समय तक हुई हो। LeakData छोटी अंतरिम संख्या को अंतिम प्रभाव के रूप में बनाए रखने के बजाय नियामक की नवीनतम आधिकारिक संख्या का उपयोग करता है।

कंपनी ने कहा कि प्रभावित जानकारी हर मरीज़ के लिए अलग थी, लेकिन उसमें नाम और एक या अधिक अतिरिक्त फ़ील्ड शामिल हो सकते थे। पुष्ट श्रेणियों में पते, जन्मतिथियाँ, मेडिकल रिकॉर्ड नंबर और Social Security नंबर शामिल हैं। इन पहचान-संबंधी विवरणों का पहचान सत्यापन, स्वास्थ्य सेवा खातों से मिलान और वित्तीय धोखाधड़ी के लिए दुरुपयोग किया जा सकता है। इसलिए घटना की गंभीरता का स्तर उच्च और डेटा की संवेदनशीलता का स्तर अत्यंत गंभीर निर्धारित किया गया है।

स्वास्थ्य संबंधी श्रेणियों में स्वास्थ्य बीमा की जानकारी के साथ-साथ उपचार संबंधी जानकारी भी शामिल थी, जैसे रोग का निदान, उपचार की तारीखें और उपचार के प्रकार।

Covenant Health का मुख्यालय मैसाचुसेट्स के एंडोवर में है और यह न्यू इंग्लैंड तथा पेंसिल्वेनिया में स्वास्थ्य सेवाएँ प्रदान करता है। आधिकारिक सूचना में संबद्ध संस्थाओं के रूप में न्यू हैम्पशायर के नैशुआ स्थित St. Joseph Hospital, मेन के बैंगोर स्थित St. Joseph Healthcare और मेन के लुइस्टन स्थित St. Mary's Health System का उल्लेख है। इस प्रविष्टि में इन्हें एक ही कॉर्पोरेट जाँच के अंतर्गत आने वाला एक डेटा उल्लंघन माना गया है।

4,78,188 की संख्या Covenant Health द्वारा अद्यतन की गई प्रभावित व्यक्तियों की कुल संख्या है। यह प्रत्येक स्वास्थ्य सेवा केंद्र की अलग-अलग नियामक रिपोर्टों को जोड़कर बनाया गया अनुमान नहीं है। इसलिए संबद्ध अस्पतालों के लिए अलग रिकॉर्ड नहीं बनाए गए हैं, और जिस व्यक्ति की जानकारी एक से अधिक केंद्रों में मौजूद थी, उसे जानबूझकर दोबारा नहीं गिना गया है। यह नहीं माना गया है कि संगठन के संचालन वाले हर राज्य की सभी सेवाएँ प्रभावित हुईं। दायरा केवल उन व्यक्तियों तक सीमित है जिन्हें सूचना दी गई है।

Covenant Health ने उन लोगों को निःशुल्क क्रेडिट निगरानी और पहचान की चोरी से सुरक्षा की पेशकश की जिनके Social Security नंबर संभवतः इस घटना में शामिल थे। सूचना पाने वाले लोगों को बताई गई अवधि के भीतर इन सेवाओं में नामांकन करना चाहिए, नए खातों के लिए क्रेडिट रिपोर्ट की निगरानी करनी चाहिए और अपरिचित बीमा दावों की समीक्षा करनी चाहिए। यदि स्वास्थ्य बीमा योजना के विवरण में ऐसी सेवा दर्ज हो जो व्यक्ति को मिली ही नहीं थी, तो उसे तुरंत योजना प्रदाता और स्वास्थ्य सेवा संगठन से संपर्क करना चाहिए।

कंपनी ने कहा कि सूचना जारी करने की तारीख तक उसे इस घटना से जुड़ी व्यक्तिगत जानकारी के किसी धोखाधड़ीपूर्ण दुरुपयोग की जानकारी नहीं थी। इससे दीर्घकालिक जोखिम समाप्त नहीं होता, खासकर इसलिए कि Social Security और मेडिकल रिकॉर्ड नंबर बदलना कठिन या असंभव होता है। प्रत्येक व्यक्ति की जानकारी के उजागर होने के दस्तावेज़ित विवरण के आधार पर क्रेडिट रिपोर्ट पर सुरक्षा रोक लगाने, धोखाधड़ी की चेतावनी दर्ज कराने, मज़बूत बहु-कारक प्रमाणीकरण इस्तेमाल करने और कर खातों की निगरानी करने पर विचार किया जा सकता है।

आधिकारिक स्रोत में प्रकाशित प्रभावित व्यक्तियों या रिकॉर्ड की संख्या घटना के बताए गए दायरे को दर्शाती है। इसका यह अर्थ नहीं है कि उजागर हुई डेटा की हर श्रेणी प्रत्येक व्यक्ति पर लागू होती थी। घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है जिसकी सार्वजनिक स्रोतों से पुष्टि की जा सकती है। 26 मई को घटना का पता चलना, 11 जुलाई को शुरुआती सूचना देना और दिसंबर में समीक्षा पूरी होना अलग-अलग चरण हैं। 7,800 लोगों वाली पुरानी अंतरिम सूचना की संख्या को अंतिम कुल संख्या में नहीं जोड़ा गया है।

इस प्रविष्टि में केवल घटना का पुष्ट सारांश, व्यक्तियों की वर्तमान संख्या, डेटा की श्रेणियाँ, घटनाक्रम और सुरक्षा संबंधी मार्गदर्शन शामिल हैं। यदि नियामक या कंपनी कोई नया संशोधन प्रकाशित करे, तो उस प्राथमिक दस्तावेज़ के आधार पर कुल संख्या और सामग्री का फिर से आकलन किया जा सकता है।