Insightin Health में 2025 की डेटा सेंध

Insightin Health ने एक वैकल्पिक नोटिस में नेटवर्क पर संदिग्ध गतिविधि और किसी तीसरे पक्ष से कराई गई जाँच का विवरण दिया। फॉरेंसिक जाँच ने 17 सितंबर से 23 सितंबर 2025 के बीच अनधिकृत पहुँच की पुष्टि की। फ़ाइलों की समीक्षा से पता चला कि प्रभावित फ़ाइलों में उसके ग्राहकों से जुड़ी संरक्षित स्वास्थ्य जानकारी मौजूद थी। इससे पुष्टि हुई कि यह वास्तव में नियामकीय दायरे में आने वाला स्वास्थ्य डेटा उल्लंघन था।

HHS OCR की प्रविष्टि में Insightin Health को व्यावसायिक सहयोगी, घटना को हैकिंग/IT घटना और जानकारी के स्थान को नेटवर्क सर्वर के रूप में वर्गीकृत किया गया है। HIPAA Journal ने संगठन के नोटिस और घटना की परिस्थितियों की समीक्षा की तथा पहुँच की अवधि, डेटा के प्रकार और सुरक्षा सेवाओं की पेशकश की पुष्टि की। स्रोत स्पष्ट रूप से बताते हैं कि सामाजिक सुरक्षा नंबर इस डेटा सेंध से प्रभावित नहीं हुए थे।

नेटवर्क पर जिस अनधिकृत पहुँच की पुष्टि हुई है, वह 17 सितंबर 2025 को शुरू हुई और 23 सितंबर को समाप्त हुई। घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है जिसकी पुष्टि सार्वजनिक स्रोतों से की जा सकती है। Insightin ने सितंबर में असामान्य गतिविधि का पता लगाया और उसकी प्रकृति, दायरे तथा प्रभावित फ़ाइलों का पता लगाने के लिए फॉरेंसिक जाँच शुरू की।

HHS की प्रविष्टि में जानकारी जमा करने की तारीख 16 जनवरी 2026 दर्ज है और अब उसमें 19,49,534 लोग बताए गए हैं। सार्वजनिक स्रोत यह नहीं बताते कि हर ग्राहक को कब सूचित किया गया था। इनमें अलग-अलग स्वास्थ्य बीमा योजनाओं के लिए प्रभावित लोगों की संख्या भी नहीं दी गई है।

फ़ाइलों में नाम और जन्मतिथियाँ हो सकती थीं। बताए गए दायरे में अनुबंध नंबर और स्वास्थ्य बीमा प्रदाताओं द्वारा इस्तेमाल किए जाने वाले गैर-विशिष्ट पहचानकर्ता भी शामिल थे। ये फ़ील्ड फ़िशिंग और बीमा खातों से जुड़ी धोखाधड़ी में मदद कर सकते हैं, लेकिन प्रदाता का गैर-विशिष्ट पहचानकर्ता अपने आप में किसी व्यक्तिगत खाते का पासवर्ड नहीं है।

कुछ फ़ाइलों में Medicare लाभार्थी पहचानकर्ता मौजूद थे। Insightin ने व्यक्तियों से संबद्ध स्वास्थ्य सेवा प्रदाताओं से जुड़ी जानकारी का भी खुलासा किया। इस जानकारी का संयोजन हमलावरों को Medicare के नाम पर भरोसेमंद लगने वाले नकली संदेश या किसी ज्ञात स्वास्थ्य सेवा प्रदाता से संबंध के आधार पर संदेश तैयार करने में मदद कर सकता है।

Insightin Health ने स्पष्ट रूप से कहा कि सामाजिक सुरक्षा नंबर इस डेटा सेंध से प्रभावित नहीं हुए थे। स्रोत भुगतान कार्ड, बैंक खाते, खातों के पासवर्ड, रोग-निदान, इलाज के विस्तृत नोट्स या दवाओं के पर्चों से जुड़ी जानकारी को भी पुष्टि किए गए सामान्य डेटा फ़ील्ड में शामिल नहीं करते हैं।

डेटा का संयोजन हर व्यक्ति और Insightin के हर ग्राहक के लिए अलग हो सकता है; इस रिकॉर्ड का अर्थ यह नहीं है कि सभी 19,49,534 लोगों के लिए हर फ़ील्ड मौजूद था। “संरक्षित स्वास्थ्य जानकारी” शब्दों के आधार पर ऐसी चिकित्सकीय जानकारी का अनुमान नहीं लगाया जाता जिसका खुलासा नहीं हुआ है।

Medusa रैनसमवेयर समूह ने घटना की ज़िम्मेदारी लेने का दावा किया। उसने कहा कि उसने Insightin के नेटवर्क से 378 GB डेटा बाहर निकाला था और उस डेटा को प्रकाशित करने की धमकी दी। ये विवरण संगठन के वैकल्पिक नोटिस में नहीं थे। सार्वजनिक स्रोत यह नहीं दिखाते कि Insightin ने Medusa के नाम, फ़ाइलों की मात्रा, फिरौती की किसी माँग या दावे में शामिल पूरी सामग्री की पुष्टि की थी।

विश्वसनीय जानकारी का आधार कंपनी द्वारा पुष्टि की गई नेटवर्क पहुँच और फ़ाइलों का दायरा, साथ ही HHS द्वारा बताई गई 19,49,534 प्रभावित व्यक्तियों की संख्या है। डेटा की श्रेणियों का दायरा बढ़ाने के लिए हमलावर के दावे का उपयोग नहीं किया जाता है।

Insightin Health ने प्रभावित लोगों को बारह महीनों के लिए निःशुल्क क्रेडिट निगरानी और पहचान की चोरी से सुरक्षा की सेवाएँ देने की पेशकश की। हालाँकि सामाजिक सुरक्षा नंबर दायरे से बाहर थे, फिर भी नोटिस पाने वालों को अपनी क्रेडिट रिपोर्ट पर नज़र रखनी चाहिए, किसी स्वास्थ्य बीमा योजना या Medicare की ओर से होने का दावा करने वाले संदेशों की सावधानी से पुष्टि करनी चाहिए और अचानक आने वाले ऐसे कॉल में जानकारी देने से इनकार करना चाहिए जिनमें लाभार्थी पहचानकर्ता माँगा जाए।

Medicare और स्वास्थ्य बीमा विवरणों में किसी अपरिचित प्रदाता, सेवा या दावे की जानकारी दिखे तो उसकी रिपोर्ट योजना के आधिकारिक धोखाधड़ी शिकायत माध्यम से करनी चाहिए। किसी संदेश के लिंक पर जाने के बजाय संपर्क विवरण कार्ड या आधिकारिक वेबसाइट से स्वतंत्र रूप से प्राप्त करने चाहिए। यदि कोई संदिग्ध संदेश या खाते में संदिग्ध गतिविधि दिखे, तो संदेश के लिंक का उपयोग किए बिना संगठन के मौजूदा आधिकारिक संपर्क माध्यम से उसकी पुष्टि करनी चाहिए। जब व्यक्तिगत सूचना-पत्र उपलब्ध हो, तो उस व्यक्ति के प्रभावित डेटा के दायरे और पेश किए गए सुरक्षा विकल्पों के लिए वही प्राथमिक स्रोत है। तारीखों और डेटा श्रेणियों को केवल उतनी ही सीमा तक समझना चाहिए जितनी सार्वजनिक स्रोतों से समर्थित हो; जिन विवरणों का खुलासा नहीं हुआ है, उन्हें पुष्टि किए गए तथ्य नहीं मानना चाहिए।