CPAP Medical में 2024 का डेटा उल्लंघन

प्राथमिक स्रोत CPAP Medical Supplies and Services द्वारा जारी डेटा सुरक्षा घटना की सूचना है। इसमें सीधे तौर पर अनधिकृत नेटवर्क पहुँच, फॉरेंसिक जाँच और दस्तावेज़ों की समीक्षा, पहुँच की अवधि, सूचनाएँ भेजने की शुरुआत, उन लोगों को दी गई क्रेडिट निगरानी की सुविधा जिनके सोशल सिक्योरिटी नंबर मौजूद थे, और सुरक्षा संबंधी सुझावों का विवरण दिया गया है।

दूसरा स्रोत HHS OCR का डेटा उल्लंघन पोर्टल है, जो 90,133 लोगों के प्रभावित होने और घटना के वर्गीकरण की पुष्टि करता है। तीसरा स्रोत HIPAA Journal की 20 अगस्त 2025 की रिपोर्ट है। यह मेन के अटॉर्नी जनरल के पास दाखिल सूचना के आधार पर तारीखों और डेटा श्रेणियों का स्वतंत्र रूप से विवरण देती है। संगठन, घटना का दायरा, नेटवर्क पहुँच और समीक्षा की तारीखें सभी स्रोतों में मेल खाती हैं।

एक अनधिकृत व्यक्ति ने 13 दिसंबर को CPAP Medical के नेटवर्क में प्रवेश किया और 21 दिसंबर तक उसकी पहुँच बनी रही। संगठन के अनुसार, घटना का पता चलने पर उसने खतरे को सीमित किया, अपने आंतरिक नेटवर्क और सिस्टम को सुरक्षित किया और बाहरी साइबर सुरक्षा विशेषज्ञों के साथ गहन जाँच शुरू की, ताकि यह निर्धारित किया जा सके कि व्यक्तिगत या संवेदनशील डेटा प्रभावित हुआ था या नहीं।

फॉरेंसिक जाँच और दस्तावेज़ों की जटिल मैनुअल समीक्षा के बाद, CPAP Medical ने 27 जून 2025 को निर्धारित किया कि प्रभावित सिस्टम में पहचान योग्य स्वास्थ्य और व्यक्तिगत जानकारी मौजूद थी। जिन लोगों की संपर्क जानकारी उपलब्ध थी, उन्हें 15 अगस्त से सूचनाएँ भेजी जाने लगीं। घटना की तारीख सार्वजनिक स्रोतों से सत्यापित की जा सकने वाली सबसे शुरुआती तकनीकी गतिविधि पर आधारित है।

नियामक को दी गई सूचना पर आधारित HIPAA Journal की रिपोर्ट के अनुसार, फ़ाइलों में पूरे नाम, जन्मतिथियाँ, सोशल सिक्योरिटी नंबर, वित्तीय और बैंकिंग जानकारी, चिकित्सा जानकारी और स्वास्थ्य बीमा संबंधी जानकारी हो सकती थी। आधिकारिक ऑनलाइन सूचना भी पहचान योग्य व्यक्तिगत जानकारी और संरक्षित स्वास्थ्य जानकारी की पुष्टि करती है तथा बताती है कि कुछ प्रभावित फ़ाइलों में सोशल सिक्योरिटी नंबर मौजूद थे।

संगठन ने यह नहीं कहा कि हर प्रकार की जानकारी सभी 90,133 लोगों के लिए मौजूद थी। इसलिए इस प्रविष्टि में डेटा श्रेणियों को जोड़कर उपसमूहों के कुल आँकड़े नहीं बनाए गए हैं और इसमें ऐसे ईमेल पते, पासवर्ड या भुगतान कार्ड के विवरण शामिल नहीं हैं जिनका खुलासा नहीं किया गया था। फ़ाइलें देखी गई हों या सिस्टम से बाहर निकाली गई हों, यह संभव है, लेकिन स्रोत यह स्थापित नहीं करते कि उन्हें सार्वजनिक रूप से जारी किया गया था या साइबर हमलावरों के किसी नामित समूह को बेचा गया था।

आधिकारिक स्रोत द्वारा प्रकाशित प्रभावित लोगों या रिकॉर्ड की संख्या घटना के बताए गए दायरे को दर्शाती है। इसका यह अर्थ नहीं है कि बताई गई हर डेटा श्रेणी प्रत्येक व्यक्ति के लिए मौजूद थी। मेन के अटॉर्नी जनरल के पास दाखिल सूचना पर आधारित रिपोर्टों में भी यही कुल संख्या दी गई है। यह सूचना दिए जाने वाले लोगों की गिनती है, न कि फ़ाइलों, दवा के पर्चों, उपकरणों के ऑर्डर, बीमा दावों या अलग-अलग डेटा तत्वों की।

जैक्सनविल स्थित CPAP Medical नींद संबंधी उपचार के उत्पाद और CPAP उपकरण उपलब्ध कराती है, विशेष रूप से सैन्य परिवारों तथा सेवारत या सेवानिवृत्त सैन्यकर्मियों को।

CPAP Medical ने कहा कि उसने खतरे को सीमित किया, अपने सिस्टम सुरक्षित किए, बाहरी विशेषज्ञों के साथ फॉरेंसिक जाँच की और दस्तावेज़ों की समीक्षा पूरी की। संगठन ने यह भी कहा कि वह व्यक्तिगत जानकारी की सुरक्षा और गोपनीयता बेहतर बनाने के लिए अपनी प्रक्रियाओं और आंतरिक नियंत्रणों का लगातार मूल्यांकन करता है और उनमें बदलाव करता है।

सूचनाएँ भेजे जाने के समय तक इस घटना के कारण हुए दुरुपयोग का कोई प्रमाण नहीं मिला था। फिर भी, जिन लोगों के सोशल सिक्योरिटी नंबर प्रभावित जानकारी में शामिल थे, उन्हें निःशुल्क क्रेडिट निगरानी की सुविधा दी गई। सूचना प्राप्त करने वालों को वित्तीय खातों, क्रेडिट रिपोर्टों और स्वास्थ्य बीमा के लाभों का विवरण देने वाले दस्तावेज़ों की समीक्षा करने की सलाह भी दी गई। किसी ज्ञात दुरुपयोग का न होना भविष्य के जोखिम को समाप्त नहीं करता।

सूचना प्राप्त करने वालों को बताई गई पंजीकरण अवधि के भीतर दी गई निगरानी सुविधा सक्रिय करनी चाहिए और अपरिचित खातों, लेन-देन या सेवाओं का पता लगाने के लिए क्रेडिट रिपोर्टों, बैंक खातों की गतिविधियों और स्वास्थ्य बीमा रिकॉर्ड की समीक्षा करनी चाहिए। किसी संदिग्ध प्रविष्टि की जानकारी वित्तीय संस्थान, बीमा कंपनी या स्वास्थ्य सेवा प्रदाता के पहले से ज्ञात आधिकारिक माध्यम से देनी चाहिए।

सैन्य समुदायों से जुड़ाव और स्वास्थ्य संबंधी जानकारी का मेल लक्षित फ़िशिंग संदेशों को अधिक विश्वसनीय बना सकता है। CPAP Medical, किसी सैन्य लाभ कार्यक्रम, बैंक या बीमा कंपनी की ओर से आने का दावा करने वाले अनपेक्षित संदेशों के लिंक सीधे नहीं खोलने चाहिए; संपर्क की शुरुआत आधिकारिक वेबसाइट या सत्यापित नंबर के ज़रिए करनी चाहिए।