MCBS 2025 डेटा उल्लंघन

MCBS ने अपनी सार्वजनिक सूचना में पुष्टि की कि उसके नेटवर्क में अनधिकृत पहुँच हुई थी। साइबर सुरक्षा विशेषज्ञों के साथ की गई फॉरेंसिक जाँच में पाया गया कि 22 सितंबर से 26 सितंबर के बीच एक अनधिकृत उपयोगकर्ता सिस्टम में मौजूद था। नेटवर्क की सुरक्षा भंग होने की इस पुष्ट घटना को संघीय HHS पोर्टल पर नेटवर्क सर्वर से जुड़ी हैकिंग/IT घटना के रूप में दर्ज किया गया।

कंपनी ने कहा कि संभव है कि कुछ फ़ाइलों तक पहुँच बनाई गई हो या उन्हें निकाला गया हो; उसने यह नहीं कहा कि डेटा बाहर ले जाए जाने की निर्णायक पुष्टि हुई थी। इसलिए यह रिकॉर्ड एक वास्तविक, रिपोर्ट किए गए उल्लंघन की पुष्टि करता है, लेकिन डेटा चोरी को निश्चित तथ्य के रूप में प्रस्तुत नहीं करता। HIPAA Journal भी फॉरेंसिक जाँच से निर्धारित इसी अवधि और जानकारी संभवतः हासिल किए जाने की बात बताता है।

घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है जिसे सार्वजनिक स्रोतों से सत्यापित किया जा सकता है। MCBS को अनधिकृत गतिविधि का पता लगभग 25 सितंबर को चला। उसने घटना को नियंत्रित किया और जाँच शुरू की; अनधिकृत गतिविधि की अवधि 26 सितंबर को समाप्त हुई। घटना शुरू होने की पहले की तारीख के बजाय पता चलने की तारीख का इस्तेमाल नहीं किया गया है।

कंपनी ने संभावित रूप से प्रभावित फ़ाइलों की मैन्युअल समीक्षा की और 28 मई 2026 को यह निर्धारित किया कि उनमें व्यक्तिगत और स्वास्थ्य संबंधी जानकारी हो सकती थी। घटना की रिपोर्ट 26 जून 2026 को HHS OCR को दी गई और बाद में यह संघीय सूची में 12,61,464 प्रभावित लोगों के दायरे के साथ दिखाई दी। समीक्षा में लंबा समय लगने का कारण अलग-अलग ग्राहकों की फ़ाइलों को संबंधित व्यक्तियों और डेटा फ़ील्ड से मिलाने का काम था।

खुलासा किए गए पहचान संबंधी डेटा फ़ील्ड में नाम, भौतिक पते, जन्मतिथियाँ और सामाजिक सुरक्षा नंबर शामिल थे। स्वास्थ्य योजना के लाभार्थी नंबर, स्वास्थ्य बीमा पॉलिसी नंबर या बीमाधारक के पहचान नंबर और बीमा संबंधी अन्य जानकारी भी संभावित रूप से शामिल थी। लोगों की अपुष्ट संख्या, अपुष्ट डेटा फ़ील्ड और हमलावरों के दावों को सार्वजनिक रूप से दर्ज घटना के दायरे का हिस्सा नहीं माना जाता है।

सामाजिक सुरक्षा नंबर और जन्मतिथियाँ लंबे समय तक उपयोग में रहने वाले पहचान विवरण हैं। बीमा संबंधी पहचान विवरणों के साथ इनके सामने आने से नए खाते खोलकर धोखाधड़ी करने, झूठे चिकित्सा दावे दाखिल करने या लक्षित फ़िशिंग का जोखिम बढ़ सकता है। कंपनी ने कहा कि उसके पास इस घटना से जुड़ी पहचान की चोरी का कोई प्रमाण नहीं था। दुरुपयोग का पता न चलने का अर्थ यह नहीं है कि जानकारी उजागर होने से भविष्य में कोई जोखिम नहीं होगा।

चिकित्सा डेटा की श्रेणियों में चिकित्सकीय इतिहास, मानसिक या शारीरिक स्वास्थ्य स्थितियाँ, चिकित्सा उपचार की जानकारी और निदान की जानकारी शामिल थी। ये श्रेणियाँ पिछली देखभाल और मौजूदा स्वास्थ्य स्थिति, दोनों के बारे में संवेदनशील जानकारी उजागर कर सकती हैं। स्रोत प्रयोगशाला जाँच के परिणामों, दवा के पर्चों, छवियों या चिकित्सा रिकॉर्ड नंबरों की अलग से पुष्टि नहीं करते हैं, इसलिए इन फ़ील्ड के शामिल होने का अनुमान लगाकर इन्हें नहीं जोड़ा गया है।

MCBS स्वास्थ्य सेवा प्रदाताओं के लिए बिलिंग और प्रबंधन सेवाएँ देता है। इस भूमिका से स्पष्ट होता है कि पहचान और बीमा संबंधी फ़ील्ड, चिकित्सकीय जानकारी वाली उन्हीं फ़ाइलों में क्यों मौजूद हो सकते थे। HHS कंपनी को व्यावसायिक सहयोगी के रूप में वर्गीकृत करता है; प्रभावित, नियमों के दायरे में आने वाले संस्थानों को इस तरह प्रस्तुत नहीं किया गया है मानो हर एक पर अलग हमला हुआ हो।

आधिकारिक स्रोत द्वारा प्रकाशित प्रभावित लोगों या रिकॉर्ड की संख्या घटना के रिपोर्ट किए गए दायरे को दर्शाती है। इसका अर्थ यह नहीं है कि बताई गई हर डेटा श्रेणी प्रत्येक व्यक्ति पर लागू होती थी। MCBS की शुरुआती सार्वजनिक सूचना में कोई संख्या नहीं दी गई थी, और जुलाई की शुरुआत में HIPAA Journal की रिपोर्ट में कहा गया था कि कुल संख्या अभी ज्ञात नहीं थी। नियामक द्वारा बाद में प्रकाशित संख्या मौजूदा सत्यापित आँकड़ा है, जो इस प्रविष्टि में पहले की अनिश्चितता की जगह लेता है।

कंपनी ने C&C MD PC, Nuclear Medicine and Pathology Associates, Radiation Oncology Associates, SkinPath Solutions, South Georgia Radiology Consultants, Stephen W. Brown & Radiology Associates of Augusta और Vascular Radiology Associates II को नियमों के दायरे में आने वाले संस्थानों के रूप में सूचीबद्ध किया है। संघीय स्तर पर दी गई कुल संख्या को इन संस्थानों के बीच दोबारा बाँटा नहीं गया है, सात बार गिना नहीं गया है और न ही मनगढ़ंत उप-संख्याओं में विभाजित किया गया है।

अपनी सार्वजनिक सूचना में MCBS ने लोगों को वित्तीय खातों की गतिविधियों की नियमित समीक्षा करने और एक वर्ष के निःशुल्क धोखाधड़ी संबंधी अलर्ट या सुरक्षा फ़्रीज़ पर विचार करने की सलाह दी। HIPAA Journal ने बताया कि प्रभावित लोगों को 12 महीने की क्रेडिट निगरानी और पहचान की चोरी से सुरक्षा की पेशकश की गई थी। सूचना पाने वालों को अपने पत्र में बताई गई नामांकन प्रक्रिया और उसमें बताए गए विशिष्ट सेवा-दायरे के अनुसार आगे बढ़ना चाहिए।

क्रेडिट रिपोर्ट के अलावा, लोगों को स्वास्थ्य बीमा के विवरणों में अपरिचित सेवाओं, प्रदाताओं या दावों की भी जाँच करनी चाहिए। MCBS या उससे जुड़े किसी प्रदाता के नाम पर भुगतान या पहचान सत्यापन के अप्रत्याशित अनुरोध आने पर उनकी पुष्टि किसी ज्ञात आधिकारिक माध्यम से करनी चाहिए। LeakData कोई व्यक्तिगत, चिकित्सा या बीमा संबंधी डेटा प्रकाशित नहीं करता; यह केवल घटना के सत्यापित मेटाडेटा का दस्तावेज़ीकरण करता है।