GrayRobinson में 2025 का डेटा उल्लंघन

इस घटना का प्राथमिक स्रोत GrayRobinson का अपना घटना संबंधी नोटिस है। फर्म ने अनधिकृत पहुँच की अवधि, घटना का पता चलने की तारीख, उठाए गए कदम, फ़ाइलों की समीक्षा के नतीजे और हर व्यक्ति के लिए अलग-अलग रहे डेटा विवरण सीधे बताए हैं। नोटिस से स्पष्ट होता है कि यह केवल संदिग्ध नेटवर्क ट्रैफ़िक का मामला नहीं था: इसके अनुसार, हो सकता है कि अनधिकृत व्यक्ति या व्यक्तियों ने प्रभावित फ़ाइलों तक पहुँच बनाई हो या उन्हें निकाला हो।

इंडियाना के अटॉर्नी जनरल की इस वर्ष अब तक के उल्लंघनों की मौजूदा रिपोर्ट में GrayRobinson P.A. का नाम दर्ज है। इसमें उल्लंघन शुरू होने की तारीख 5 मार्च 2025, सूचना देने की तारीख 24 अप्रैल 2026, इंडियाना के प्रभावित निवासियों की संख्या 234 और कुल प्रभावित लोगों की संख्या 80,383 दी गई है। HHS के नागरिक अधिकार कार्यालय के पोर्टल पर फर्म को अलग से व्यावसायिक सहयोगी के रूप में सूचीबद्ध किया गया है। वहाँ 54,131 लोगों के प्रभावित होने की जानकारी है और घटना को नेटवर्क सर्वर से जुड़ी हैकिंग/IT घटना के रूप में वर्गीकृत किया गया है। इस तरह संगठन का नोटिस, राज्य नियामक की रिपोर्ट और संघीय स्वास्थ्य रिकॉर्ड एक-दूसरे की पूरक पुष्टि प्रदान करते हैं।

GrayRobinson के आधिकारिक बयान के अनुसार, उसके नेटवर्क तक अनधिकृत पहुँच 5 मार्च से 24 मार्च 2025 के बीच हुई। फर्म को घटना का पता 24 मार्च को या उसके आसपास चला। उसकी जाँच में पाया गया कि इस अवधि के दौरान कुछ फ़ाइलों तक पहुँच बनाई गई हो सकती है या उन्हें निकाला गया हो सकता है। हालाँकि, सार्वजनिक नोटिस में यह नहीं बताया गया है कि किस सुरक्षा खामी का इस्तेमाल हुआ, शुरुआती पहुँच कैसे मिली, कौन जिम्मेदार था या बाद में कोई फ़ाइल सार्वजनिक की गई थी या नहीं।

सार्वजनिक स्रोत इस घटना को रैनसमवेयर नहीं बताते और न ही इसके लिए किसी विशेष साइबर हमलावर समूह को ज़िम्मेदार ठहराते हैं। HHS के वर्गीकरण में हैकिंग/IT घटना और नेटवर्क सर्वर शब्दों का इस्तेमाल किया गया है। इसलिए यह प्रविष्टि नेटवर्क में घुसपैठ की पुष्टि और फ़ाइलों तक पहुँच बनाए जाने या उन्हें निकाले जाने की संभावना का वर्णन करती है। इसमें किसी अपुष्ट तकनीक, फिरौती की माँग या डार्क वेब पर फ़ाइलें प्रकाशित होने का दावा नहीं जोड़ा गया है।

GrayRobinson के अनुसार, शामिल जानकारी हर व्यक्ति के लिए अलग थी और उसमें निम्न में से एक या अधिक विवरण हो सकते थे: पहला नाम और उपनाम, जन्मतिथि, सामाजिक सुरक्षा नंबर, ड्राइविंग लाइसेंस नंबर, राज्य या सरकार द्वारा जारी पहचान संबंधी जानकारी, वित्तीय खाते की जानकारी, चिकित्सा संबंधी जानकारी और स्वास्थ्य बीमा की जानकारी। नोटिस यह नहीं कहता कि हर प्रभावित व्यक्ति की फ़ाइलों में इन सभी श्रेणियों की जानकारी थी।

सरकारी पहचान संबंधी जानकारी के साथ सामाजिक सुरक्षा नंबर होने से धोखाधड़ी करके खाता खोलने या किसी और की पहचान का इस्तेमाल करने का जोखिम बढ़ सकता है। वित्तीय खाते की जानकारी से खाते से जुड़ी धोखाधड़ी में मदद मिल सकती है, जबकि चिकित्सा और बीमा संबंधी विवरणों का इस्तेमाल चिकित्सा सेवाओं के लिए किसी और की पहचान का दुरुपयोग करने या बेहद विश्वसनीय लगने वाले लक्षित संदेश तैयार करने में हो सकता है। व्यक्तिगत नोटिस में बताया जाता है कि उसके प्राप्तकर्ता की कौन-सी जानकारी शामिल थी, इसलिए सामान्य सूची के बजाय उसी पत्र को आधार बनाना चाहिए।

इंडियाना के अटॉर्नी जनरल की उपलब्ध मौजूदा रिपोर्ट में 80,383 को स्पष्ट रूप से कुल प्रभावित लोगों की संख्या और 234 को इंडियाना के निवासियों की संख्या बताया गया है। इंडियाना की रिपोर्ट के एक पुराने रूप में पहले कुल संख्या 65,113 दिखाई गई थी, लेकिन मौजूदा रिपोर्ट में इस प्रविष्टि का आँकड़ा बढ़ाकर 80,383 कर दिया गया है। इसलिए इस रिकॉर्ड में पुराने आँकड़े के बजाय नियामक की नवीनतम रिपोर्ट में स्पष्ट रूप से दिए गए कुल आँकड़े का इस्तेमाल किया गया है।

HHS पोर्टल का 54,131 का आँकड़ा संघीय HIPAA उल्लंघन कार्यक्रम के तहत अलग से बताई गई संख्या है और यह इंडियाना के कुल आँकड़े से 26,252 कम है। HHS की रिपोर्ट स्वास्थ्य नियमन से जुड़ी है, जबकि इंडियाना की रिपोर्ट में कुल प्रभावित लोगों की संख्या के लिए अलग कॉलम है। स्रोत यह नहीं बताते कि यह अंतर शामिल लोगों के दायरे, रिपोर्टिंग की आवश्यकताओं या अपडेट के समय के कारण है। इसलिए दोनों आँकड़ों को जोड़ा नहीं गया है और HHS का आँकड़ा देशभर के कुल प्रभावित लोगों की संख्या की जगह नहीं लेता।

फर्म का कहना है कि उसने अपना नेटवर्क सुरक्षित किया, कानून प्रवर्तन अधिकारियों को घटना की सूचना दी और ऐसी घटनाओं से निपटने का अनुभव रखने वाले बाहरी साइबर सुरक्षा विशेषज्ञों के साथ काम किया। इसके बाद उसने संभावित रूप से प्रभावित जानकारी की विस्तृत समीक्षा की। यह समीक्षा 13 अप्रैल 2026 को पूरी करने के बाद GrayRobinson ने 24 अप्रैल से उन लोगों को सूचित करना शुरू किया जिनकी जानकारी इन फ़ाइलों में हो सकती थी।

नोटिस के एक नमूने में कहा गया है कि नोटिस की तारीख तक फर्म के पास ऐसा कोई प्रमाण नहीं था कि जानकारी का इस्तेमाल वित्तीय धोखाधड़ी या पहचान की चोरी के लिए किया गया था। उसमें पात्र लोगों को Experian IdentityWorks के माध्यम से निःशुल्क निगरानी सेवा की पेशकश भी की गई थी। इस बयान से यह गारंटी नहीं मिलती कि भविष्य में जानकारी का दुरुपयोग नहीं होगा। GrayRobinson का यह भी कहना है कि वह अपनी कार्यप्रणालियों और आंतरिक नियंत्रणों का मूल्यांकन और उनमें बदलाव करना जारी रखे हुए है, हालाँकि सार्वजनिक नोटिस में तकनीकी बदलावों का विवरण नहीं दिया गया है।

नोटिस पाने वाले व्यक्ति को सबसे पहले पत्र में यह देखना चाहिए कि उनकी कौन-सी जानकारी शामिल थी और किसी निःशुल्क सेवा में पंजीकरण की अंतिम तारीख क्या है। अगर सामाजिक सुरक्षा नंबर या कोई सरकारी पहचान संख्या शामिल थी, तो तीनों क्रेडिट ब्यूरो की रिपोर्टों की समीक्षा करें और निःशुल्क धोखाधड़ी अलर्ट या क्रेडिट फ़्रीज़ लगाने पर विचार करें। अगर वित्तीय खाते की जानकारी दी गई थी, तो लेन-देन और संपर्क विवरणों में होने वाले बदलावों पर नज़र रखें।

जिन लोगों के पत्र में चिकित्सा या स्वास्थ्य बीमा संबंधी जानकारी का उल्लेख है, वे बीमा लाभों के स्पष्टीकरण वाले विवरणों और रोगी पोर्टलों की समीक्षा करके ऐसी सेवा, चिकित्सा प्रक्रिया या सेवा प्रदाता का पता लगा सकते हैं जिसे वे नहीं पहचानते। GrayRobinson के नाम से आए किसी अप्रत्याशित संदेश के जवाब में पासवर्ड, भुगतान संबंधी जानकारी या एक बार इस्तेमाल होने वाला कोड साझा न करें। घटना संबंधी सहायता के लिए फ़ोन नंबर 844-403-4596 है, जो सोमवार से शुक्रवार ईस्टर्न समय के अनुसार सुबह 9:00 बजे से शाम 6:30 बजे तक उपलब्ध है। कॉल करने से पहले फर्म के मौजूदा आधिकारिक नोटिस में इस नंबर की पुष्टि कर लें।