Excelsior Orthopaedics में 2024 का डेटा उल्लंघन

मुख्य स्रोत मेन के अटॉर्नी जनरल के आधिकारिक पोर्टल पर उपलब्ध संशोधित सूचना है। उससे जुड़े पत्र में 23 जून को घटना का पता चलने, शुरुआती फॉरेंसिक निष्कर्षों, प्रभावित मरीजों और कर्मचारियों के दायरे, विभिन्न चरणों में भेजी गई सूचनाओं और संगठन की प्रतिक्रिया का विवरण दिया गया है। बाद में दाखिल किए गए संशोधित विवरण में पहले बताई गई कुल संख्या बढ़ाकर 3,94,752 लोग कर दी गई।

दूसरा स्रोत HHS के नागरिक अधिकार कार्यालय का आधिकारिक डेटा उल्लंघन पोर्टल है। वहां Excelsior Orthopaedics की प्रविष्टि में 21 अगस्त 2024 को हुई नेटवर्क-सर्वर हैकिंग/IT घटना से 2,92,913 लोगों के प्रभावित होने की जानकारी दी गई है। डेटा में सेंध की जानकारी का सार्वजनिक स्रोत संशोधित मेन विवरण और सितंबर 2025 की राज्य सूचनाओं का स्वतंत्र रूप से मिलान करता है और मौजूदा कुल संख्या तथा उजागर हुए डेटा की श्रेणियों का विवरण देता है।

Excelsior ने 23 जून को अपने नेटवर्क में असामान्य गतिविधि का पता लगाया। स्वास्थ्य सेवा प्रदाता ने नेटवर्क तक बाहरी पहुंच बंद की, संदिग्ध उपकरणों को अलग किया, उपयोगकर्ताओं और प्रशासकों के क्रेडेंशियल बदले और फॉरेंसिक जांच के लिए एक विशेषज्ञ साइबर सुरक्षा फर्म की सेवाएं लीं। शुरुआती नतीजों से पता चला कि वर्तमान और पूर्व मरीजों तथा कर्मचारियों से जुड़े डेटा की सुरक्षा भंग हुई थी।

इसके बाद Excelsior ने बाहरी डेटा-समीक्षा विशेषज्ञों के साथ मिलकर यह पता लगाया कि प्रभावित फाइलें किन व्यक्तियों से संबंधित थीं। शुरुआती छोटे समूह को अगस्त 2024 में सूचनाएं मिलीं। दिसंबर में डेटा की छानबीन का अधिकांश काम पूरा होने के बाद, दूसरे चरण के पत्र 31 दिसंबर को डाक से भेजे गए। सार्वजनिक रिकॉर्ड में शुरुआती प्रवेश के तरीके, इस्तेमाल की गई सुरक्षा खामी या घटना को अंजाम देने वाले पक्ष की पहचान नहीं दी गई है।

व्यक्ति के अनुसार अलग-अलग जानकारी प्रभावित हुई थी। प्रमुख विवरणों में पूरे नाम, पते, जन्मतिथियां, सामाजिक सुरक्षा नंबर, ड्राइविंग लाइसेंस नंबर या वाहन न चलाने वालों के पहचान-पत्र नंबर शामिल थे। कर्मचारियों के लिए तैयार नमूना सूचना में बायोमेट्रिक जानकारी भी सूचीबद्ध थी। इस रिकॉर्ड में यह नहीं माना गया है कि हर सूचना प्राप्तकर्ता के सभी विवरण प्रभावित हुए थे; किसी व्यक्ति की अपनी सूचना बताती है कि उसकी कौन-सी जानकारी प्रभावित हुई थी।

जन्मतिथि और सरकारी पहचान संख्या के साथ SSN उपलब्ध होने पर नए खाते खोलकर धोखाधड़ी करने, किसी और की पहचान का इस्तेमाल करने या अधिक विश्वसनीय लगने वाली फ़िशिंग का जोखिम बढ़ सकता है। आधिकारिक नमूना सूचना में “बायोमेट्रिक जानकारी” एक व्यापक श्रेणी के रूप में दर्ज है।

मरीजों की संभावित रूप से प्रभावित जानकारी में मेडिकल रिकॉर्ड नंबर, रोग-निदान और निदान कोड, उपचार के स्थान, चिकित्सा प्रक्रियाओं के प्रकार, सेवा प्रदाताओं के नाम, उपचार की लागत और सेवा की तिथियां शामिल थीं। स्वास्थ्य बीमा की जानकारी, पॉलिसीधारक या सदस्य नंबर और मरीजों के खाता नंबर भी सूचीबद्ध थे। इन विवरणों से स्वास्थ्य सेवा, बिलिंग और बीमा लाभों से जुड़े ठगी के प्रयास अधिक विश्वसनीय लग सकते हैं।

सूचना पाने वाले लोग बीमा लाभों के विवरण, मरीज पोर्टल की गतिविधि, अपरिचित सेवाओं, अप्रत्याशित वसूली प्रयासों और सेवा प्रदाता के संदेशों की जांच कर सकते हैं। किसी संदेश में वास्तविक रोग-निदान, सेवा की तारीख या प्रदाता का नाम होने भर से वह भरोसेमंद नहीं हो जाता। प्रदाता के ज्ञात फोन नंबर या पहले से इस्तेमाल किए जा रहे मरीज पोर्टल के जरिए अलग से उसकी पुष्टि करें।

3,94,752 की संख्या मेन के अटॉर्नी जनरल के संशोधित रिकॉर्ड में देश भर के प्रभावित लोगों का सबसे हालिया कुल आंकड़ा है। पहले बताई गई 3,57,000 की संख्या और HHS की 2,92,913 की संख्या अलग-अलग समय पर पूरी हुई समीक्षाओं और सूचना भेजे जाने के दायरों को दर्शाती हैं; इन्हें आपस में नहीं जोड़ना चाहिए।

मेन के आधिकारिक पत्र में जनवरी 2025 में कहा गया था कि प्रभावित लोगों की पहचान करने का काम जारी था। बाद में दाखिल किए गए संशोधित विवरण में प्रभावित लोगों की संख्या बढ़ाई गई। राज्यों के निवासियों की अलग-अलग संख्याओं को देश भर के कुल आंकड़े में नहीं जोड़ा जाता, ताकि दोहरी गिनती न हो।

Excelsior ने नेटवर्क पर घटना को फैलने से रोकने के कदम उठाए, क्रेडेंशियल बदले और बताया कि उसने नए सुरक्षा उपकरण लागू किए, प्रमुख प्रणालियों और व्यावसायिक प्रक्रियाओं को नए सिरे से तैयार किया तथा सुरक्षा जागरूकता और अलर्ट व्यवस्था को मजबूत किया। उसने घटना की सूचना FBI को दी। मेन की नमूना सूचना में प्रभावित लोगों को CyberScout के जरिए 12 महीने की निःशुल्क क्रेडिट निगरानी और पहचान की चोरी से उबरने में सहायता की पेशकश की गई थी।

सूचना पाने वाले व्यक्ति को अपने पत्र में पंजीकरण की अंतिम तारीख की पुष्टि करनी चाहिए। यदि SSN या पहचान संख्या प्रभावित हुई थी, तो क्रेडिट फ्रीज़, धोखाधड़ी अलर्ट और नए खातों की निगरानी पर विचार करना चाहिए। स्वास्थ्य डेटा के मामले में बीमा लाभों के विवरण और मरीज खातों की समीक्षा करें। Excelsior के नाम से आए किसी अप्रत्याशित संदेश में पासवर्ड, पूरा SSN या एक बार इस्तेमाल होने वाला कोड साझा न करें और ऐसे संदेश के आधार पर कोई भुगतान न करें। यदि कोई संदिग्ध संदेश या खाते से जुड़ी संदिग्ध गतिविधि दिखे, तो संदेश के लिंक इस्तेमाल किए बिना संगठन के मौजूदा आधिकारिक संपर्क माध्यम से उसकी पुष्टि करें।