MedStar Health में 2025 का डेटा उल्लंघन

प्राथमिक स्रोत MedStar Health की डेटा गोपनीयता संबंधी घटना की आधिकारिक सूचना है। इसमें 12–16 सितंबर के दौरान अनधिकृत पहुँच, 4 अक्टूबर को घटना का पता चलने, 12 नवंबर को प्रभावित डेटा का दायरा निर्धारित होने, 3 दिसंबर को पत्र भेजे जाने, संभावित डेटा प्रकारों और सहायता के लिए 855-403-1763 नंबर की जानकारी दी गई है। सुरक्षित रखी गई PDF प्रति में भी आधिकारिक पृष्ठ वाला ही पाठ है।

दूसरा स्रोत 3 दिसंबर की आधिकारिक HHS/OCR प्रविष्टि है, जिसमें 64,332 लोगों का उल्लेख है। डेटा में सेंध की जानकारी का सार्वजनिक स्रोत का घटना संबंधी पृष्ठ, जिसमें कंपनी की सूचना का लिंक है, तारीखों और डेटा श्रेणियों का समर्थन करता है। द्वितीयक रिपोर्टों में जिस रैनसमवेयर समूह का नाम आया है, उसकी पुष्टि MedStar के सार्वजनिक विवरण में नहीं की गई है। इसलिए उसे शीर्षक, विवरण या टैग में आधिकारिक निष्कर्ष के रूप में प्रस्तुत नहीं किया गया है।

MedStar की जाँच में पाया गया कि एक बाहरी पक्ष ने 12 सितंबर से 16 सितंबर तक उन प्रणालियों तक अनधिकृत पहुँच हासिल की, जिनमें मरीज़ों की जानकारी थी। जब संगठन को 4 अक्टूबर को घटना का पता चला, तो उसने तुरंत अपनी प्रणालियों को सुरक्षित करने के कदम उठाए, फ़ॉरेंसिक विशेषज्ञों की मदद ली और कानून प्रवर्तन एजेंसियों को सूचित किया।

12 नवंबर को समीक्षा में पाया गया कि अनधिकृत पक्ष ने जिन फ़ाइलों तक पहुँच बनाई थी, उनमें मरीज़ों की जानकारी थी। MedStar ने 3 दिसंबर को कुछ मरीज़ों को डाक से पत्र भेजने शुरू किए। सार्वजनिक विवरण में यह नहीं बताया गया है कि शुरुआती पहुँच कैसे हासिल की गई, उस पक्ष की पहचान क्या थी, कितनी फ़ाइलें थीं या क्या हर फ़ाइल की प्रतिलिपि बनाई गई थी। इस रिकॉर्ड में इन अज्ञात बातों की जगह अनुमान नहीं लगाए गए हैं।

आधिकारिक सूचना के अनुसार, जिन फ़ाइलों तक पहुँच बनाई गई थी, उनमें मरीज़ों के नाम, जन्मतिथियाँ और सोशल सिक्योरिटी नंबर थे। व्यक्ति के अनुसार, उनमें निदान, दवाओं, जाँच के नतीजों, छवियों, स्वास्थ्य बीमा और उपचार की जानकारी भी रही हो सकती है। सूचना में यह नहीं कहा गया है कि हर मरीज़ के लिए हर डेटा फ़ील्ड मौजूद था।

MedStar ने यह भी कहा कि उसने उन मरीज़ों को पहचान की निगरानी की सेवा की पेशकश की, जिनके सोशल सिक्योरिटी या ड्राइविंग लाइसेंस नंबर प्रभावित हुए हो सकते हैं। इसलिए ड्राइविंग लाइसेंस नंबर को संभावित डेटा श्रेणी के रूप में दर्ज किया गया है। सार्वजनिक विवरण में बैंक खातों, भुगतान कार्डों, पासवर्ड और मरीज़ पोर्टल की लॉगिन जानकारी का उल्लेख नहीं किया गया है और इन्हें यहाँ नहीं जोड़ा गया है।

आधिकारिक स्रोत द्वारा प्रकाशित प्रभावित व्यक्तियों या रिकॉर्ड की संख्या घटना के रिपोर्ट किए गए दायरे को दर्शाती है। इसका मतलब यह नहीं है कि बताई गई हर डेटा श्रेणी हर व्यक्ति पर लागू होती थी। यह फ़ाइलों, छवियों, प्रयोगशाला जाँच के नतीजों या MedStar के सभी मरीज़ों की संख्या नहीं है; यह नियामक को बताई गई प्रभावित लोगों की संख्या है।

प्रभावित खातों की सार्वजनिक रूप से दिखाई जाने वाली संख्या 64,332 है, जबकि आयात काउंटर एक अलग परिचालन माप के रूप में शून्य पर बना हुआ है।

नाम, जन्मतिथि, SSN और ड्राइविंग लाइसेंस नंबर एक साथ उपलब्ध होने से किसी और की पहचान अपनाने, नए खाते खोलकर धोखाधड़ी करने या कर संबंधी धोखाधड़ी का जोखिम बढ़ सकता है। निदान, दवाओं, जाँच के नतीजों, चिकित्सा छवियों और उपचार की जानकारी का इस्तेमाल व्यक्ति के अनुरूप स्वास्थ्य सेवा से जुड़े फ़र्ज़ी संदेश तैयार करने में हो सकता है। बीमा संबंधी विवरण धोखाधड़ी वाले दावों या बिलों के लिए संदर्भ दे सकते हैं।

पत्र पाने वालों को क्रेडिट रिपोर्ट और वित्तीय विवरणों के अलावा स्वास्थ्य बीमा के लाभों का विवरण देने वाले दस्तावेज़ों तथा जाँच या उपचार संबंधी सूचनाओं की भी समीक्षा करनी चाहिए। MedStar या किसी डॉक्टर की ओर से होने का दावा करने वाले अप्रत्याशित संदेश के लिंक के बजाय संस्था के सत्यापित संपर्क माध्यम का इस्तेमाल करें। अपना पूरा SSN, पासवर्ड, भुगतान संबंधी जानकारी या एक बार इस्तेमाल होने वाला कोड साझा न करें।

MedStar ने कहा कि उसने अपनी प्रणालियों को सुरक्षित किया, बाहरी फ़ॉरेंसिक विशेषज्ञों के साथ जाँच की, कानून प्रवर्तन एजेंसियों को सूचित किया और अपने भौतिक, तकनीकी तथा प्रशासनिक साइबर सुरक्षा नियंत्रणों की समीक्षा और उन्हें मज़बूत करने का काम जारी रखा। जिन कुछ मरीज़ों के SSNs या ड्राइविंग लाइसेंस नंबर प्रभावित हुए थे, उन्हें पहचान की निगरानी की निःशुल्क सेवा की पेशकश की गई।

सवालों के जवाब देने के लिए समर्पित कॉल सेंटर 855-403-1763 पर सोमवार से शुक्रवार, पूर्वी समय के अनुसार सुबह 9:00 बजे से रात 9:00 बजे तक उपलब्ध है। पत्र पाने वालों को अपने पत्रों में बताए गए डेटा फ़ील्ड पर ध्यान देना चाहिए और पंजीकरण निर्देशों का पालन करना चाहिए। जिन चिकित्सा सेवाओं का उन्होंने लाभ नहीं लिया, उनके लिए लगाए गए शुल्क की तुरंत स्वास्थ्य सेवा प्रदाता या बीमा कंपनी से पुष्टि करनी चाहिए। यदि कोई अपरिचित क्रेडिट गतिविधि दिखाई दे, तो धोखाधड़ी का अलर्ट लगवाना या निःशुल्क क्रेडिट फ़्रीज़ कराना उपयुक्त हो सकता है। यदि कोई संदिग्ध संदेश या खाते से जुड़ी घटना दिखाई दे, तो संदेश के लिंक इस्तेमाल किए बिना संगठन के मौजूदा आधिकारिक संपर्क माध्यम से उसकी पुष्टि करनी चाहिए। जब किसी व्यक्ति का सूचना-पत्र उपलब्ध हो, तो उस व्यक्ति के प्रभावित डेटा के दायरे और उसे दिए गए सुरक्षा विकल्पों के लिए वही प्राथमिक स्रोत है।