MMG Fusion में 2020 का डेटा उल्लंघन

इस घटना में जिन डेटा श्रेणियों की पुष्टि हुई है, वे हैं: अपॉइंटमेंट, जन्मतिथियाँ, ईमेल पते, लिंग, वैवाहिक स्थिति, नाम, पासवर्ड, फोन नंबर और भौतिक पते। अपॉइंटमेंट की जानकारी से यह संवेदनशील संदर्भ मिल सकता है कि किसी व्यक्ति ने कब या किस क्लिनिक में स्वास्थ्य सेवा ली थी। जब ईमेल, फोन और भौतिक पते की जानकारी एक साथ उपलब्ध हो, तो क्लिनिक की फर्जी सूचनाओं, अपॉइंटमेंट की पुष्टि, भुगतान के अनुस्मारक या दस्तावेज़ अपडेट के नाम पर भेजे गए धोखाधड़ी वाले संदेश अधिक विश्वसनीय लग सकते हैं। जन्मतिथि और वैवाहिक स्थिति जैसे विवरण पहचान सत्यापित करने वाले सवालों या प्रोफ़ाइल के मिलान के प्रयासों में अतिरिक्त जोखिम पैदा करते हैं।

बताया गया है कि रिकॉर्ड के एक छोटे समूह में पासवर्ड bcrypt हैश के रूप में मौजूद हैं। यह पासवर्ड सादे टेक्स्ट में होने का दावा नहीं है; फिर भी, कमजोर या दोबारा इस्तेमाल किए गए पासवर्ड का जोखिम बना रहता है। अगर किसी उपयोगकर्ता ने ईमेल, मरीज पोर्टल, सोशल मीडिया या स्वास्थ्य सेवा के अन्य खातों में वही पासवर्ड इस्तेमाल किया था, तो पहले हुआ डेटा उल्लंघन मौजूदा खातों को प्रभावित कर सकता है। स्वास्थ्य सेवा के अपॉइंटमेंट से जुड़ा संदर्भ होने के कारण हमलावर केवल खातों में लॉगिन करने के प्रयासों तक सीमित नहीं रह सकते। वे असली संपर्क विवरण का इस्तेमाल करके ऐसे संदेश तैयार कर सकते हैं जो मरीज सहायता हेल्पलाइन, अपॉइंटमेंट केंद्र या बीमा विभाग की ओर से आए हुए लगें।

सत्यापित घटना की तारीख 20 दिसंबर 2020 मानी गई है, और रिकॉर्ड जोड़े जाने तथा स्रोत में बदलाव की तारीख 7 अगस्त 2021 मानी गई है। अलग-अलग ईमेल पतों की संख्या 26,60,295 है। डेटा की श्रेणियाँ अपॉइंटमेंट की जानकारी, जन्मतिथियों, ईमेल पतों, लिंग, वैवाहिक स्थिति, नाम, bcrypt पासवर्ड हैश, फोन नंबर और भौतिक पतों तक सीमित हैं। इस रिकॉर्ड में सामाजिक सुरक्षा नंबर, भुगतान कार्ड, बैंक खाते, विस्तृत निदान, दवा के पर्चे, प्रयोगशाला के नतीजे या पूरी क्लिनिकल फ़ाइल सत्यापित डेटा श्रेणियों में शामिल नहीं हैं।

इसके दायरे को सही ढंग से समझना ज़रूरी है। मिलान मिलने का मतलब यह नहीं है कि उपयोगकर्ता का पूरा चिकित्सा इतिहास उजागर हो गया है। हालांकि, अपॉइंटमेंट और संपर्क संबंधी डेटा का एक साथ मौजूद होना स्वास्थ्य संबंधी निजता के लिहाज़ से पर्याप्त गंभीर है। कंपनी दंत चिकित्सा क्लिनिक के प्रबंधन से जुड़ी सेवाएँ देती है; इसलिए इस रिकॉर्ड को किसी सामान्य तकनीकी साइट के बजाय दंत चिकित्सा अपॉइंटमेंट और मरीजों से संवाद की प्रणाली के रूप में वर्गीकृत किया जाना चाहिए। पासवर्ड का जोखिम भी केवल रिकॉर्ड के एक छोटे समूह में बताया गया है। फिर भी, दूसरे खातों में उसी पासवर्ड के इस्तेमाल की संभावना के कारण सुरक्षा संबंधी कदम उठाने की सलाह दी जाती है।

सबसे अधिक जोखिम वाले समूह में MMG Fusion का इस्तेमाल करने वाले और दंत चिकित्सा या क्लिनिकल सेवाओं से जुड़े मरीज, वे लोग जिनकी अपॉइंटमेंट की जानकारी मौजूद है, और स्वास्थ्य सेवा के खातों के लिए एक ही ईमेल पते का इस्तेमाल करने वाले उपयोगकर्ता शामिल हैं। जिन उपयोगकर्ताओं के नाम, फोन नंबर, पते और जन्मतिथि उपलब्ध हैं, उन्हें फर्जी अपॉइंटमेंट संदेशों, क्लिनिक का बकाया चुकाने की सूचनाओं या बीमा से जुड़े संदेशों के ज़रिए निशाना बनाया जा सकता है। लिंग और वैवाहिक स्थिति जैसे विवरण व्यक्ति के अनुरूप तैयार किए गए संदेशों को अधिक विश्वसनीय दिखाने में मदद कर सकते हैं। ऐसी जानकारी वित्तीय कार्ड के विवरण जितनी जल्दी बदली नहीं जा सकती; इसलिए निजता पर इसका लंबे समय तक असर पड़ सकता है।

दंत चिकित्सा क्लिनिक के कर्मचारियों, अपॉइंटमेंट केंद्र से अक्सर संपर्क करने वाले मरीजों और परिवार के सदस्यों की ओर से अपॉइंटमेंट संबंधी काम के लिए एक ही ईमेल पते का इस्तेमाल करने वाले लोगों को भी सावधान रहना चाहिए। हमलावर व्यक्ति के असली फोन नंबर और पते की जानकारी का इस्तेमाल करके उसे कॉल कर सकते हैं और अपॉइंटमेंट की पुष्टि करने, दस्तावेज़ पूरे करने या भुगतान के निर्देश देने को कह सकते हैं। पासवर्ड हैश वाले रिकॉर्ड के छोटे समूह में शामिल लोगों के लिए अतिरिक्त जोखिम है। अगर वही पासवर्ड दूसरी सेवाओं पर भी इस्तेमाल हो रहा है, तो खाते की सुरक्षा प्रभावित हो सकती है। इसलिए, जिस व्यक्ति का मिलान मिलता है, उसे संपर्क के ज़रिए होने वाली धोखाधड़ी और पासवर्ड के दोबारा इस्तेमाल, दोनों जोखिमों पर एक साथ ध्यान देना चाहिए।

इस रिकॉर्ड में मिलान पाने वाले उपयोगकर्ता को सबसे पहले अपॉइंटमेंट और क्लिनिक से जुड़े अनपेक्षित ईमेल, SMS और फोन कॉल से सावधान रहना चाहिए। संदेश में असली नाम, फोन नंबर, पता या अपॉइंटमेंट का संदर्भ होने पर भी उसे भरोसेमंद नहीं मानना चाहिए। अपॉइंटमेंट की पुष्टि, भुगतान की सूचना, दस्तावेज़ अपडेट या मरीज के फ़ॉर्म से जुड़े ऐसे संदेशों की, जिनमें लिंक हों, पुष्टि सीधे क्लिनिक या सेवा के किसी ज्ञात पते के माध्यम से करनी चाहिए। फोन पर कोई अनुरोध आने पर जन्मतिथि, सत्यापन कोड, कार्ड की जानकारी या पासवर्ड साझा नहीं करना चाहिए।

जिन खातों में पासवर्ड का इस्तेमाल होता है, उनमें हर खाते के लिए अलग पासवर्ड रखना चाहिए। अगर उपयोगकर्ता ने MMG Fusion से जुड़े खाते का पासवर्ड दूसरी सेवाओं पर भी इस्तेमाल किया है, तो उसे सबसे पहले अपने ईमेल और महत्वपूर्ण खातों के पासवर्ड बदलने चाहिए। जिन सेवाओं में बहु-कारक प्रमाणीकरण की सुविधा हो, उनमें इसे चालू करना चाहिए, सक्रिय सत्र बंद करने चाहिए और खाता पुनर्प्राप्ति के लिए दर्ज ईमेल तथा फोन की जानकारी की समीक्षा करनी चाहिए। ईमेल खाते की विशेष रूप से सुरक्षा करनी चाहिए, क्योंकि मेडिकल अपॉइंटमेंट की सूचनाएँ और खाता पुनर्प्राप्ति के संदेश अक्सर इसी खाते पर आते हैं।

स्वास्थ्य संबंधी अपॉइंटमेंट और संपर्क डेटा से जुड़े उल्लंघनों में लंबे समय का जोखिम यह है कि वर्षों बाद भी इस डेटा का इस्तेमाल धोखाधड़ी वाले संदेशों में किया जा सकता है। उपयोगकर्ताओं को स्वास्थ्य सेवा, खरीदारी, सोशल मीडिया और ईमेल के खातों के लिए अलग-अलग पासवर्ड इस्तेमाल करने चाहिए। फोन और पते की जानकारी केवल आवश्यक सेवाओं के साथ साझा करनी चाहिए। मरीज पोर्टल और क्लिनिक से संवाद के माध्यमों के लिए बहु-कारक प्रमाणीकरण को प्राथमिकता देनी चाहिए, और पुराने अपॉइंटमेंट खातों की समय-समय पर समीक्षा करनी चाहिए। जिन खातों का इस्तेमाल नहीं हो रहा है, उनमें व्यक्तिगत डेटा और दर्ज संपर्क जानकारी को न्यूनतम रखना चाहिए।

संस्थानों के नज़रिए से, यह घटना दंत चिकित्सा और स्वास्थ्य सेवा की अपॉइंटमेंट प्रणालियों में डेटा की सूची, पहुँच नियंत्रण और पासवर्ड को सुरक्षित रूप से रखने की गुणवत्ता का महत्व दिखाती है। अपॉइंटमेंट रिकॉर्ड केवल कैलेंडर की जानकारी नहीं होते। मरीज की पहचान, संपर्क के माध्यमों और स्वास्थ्य सेवा के संदर्भ से जुड़ने पर वे संवेदनशील जानकारी बन जाते हैं। उपयोगकर्ताओं के लिए लगातार सुरक्षा बनाए रखने का अर्थ है अपने ईमेल खाते को मज़बूत सुरक्षा देना, फोन पर होने वाली ठगी से सावधान रहना, क्लिनिक के संदेशों की पुष्टि किसी अलग माध्यम से करना और एक ही पासवर्ड का दोबारा इस्तेमाल पूरी तरह बंद करना।

इस रिकॉर्ड में मिलान मिलने का मतलब है कि ईमेल पता MMG Fusion डेटा सेट के सत्यापित पतों में शामिल है। मिलान से यह साबित नहीं होता कि सामाजिक सुरक्षा नंबर, भुगतान कार्ड, पूरा मेडिकल रिकॉर्ड या विस्तृत निदान की जानकारी इस डेटा सेट में मौजूद है। सत्यापित विवरण हैं: अपॉइंटमेंट की जानकारी, जन्मतिथि, ईमेल, लिंग, वैवाहिक स्थिति, नाम, फोन, भौतिक पता और एक छोटे समूह में bcrypt पासवर्ड हैश। उपयोगकर्ता को इस सीमा को सही ढंग से समझना चाहिए और स्वास्थ्य सेवा से जुड़े संवाद के जोखिम तथा पासवर्ड के दोबारा इस्तेमाल, दोनों पर ध्यान देना चाहिए।

पहला कदम उन खातों की पहचान करना है जिनमें एक ही ईमेल और मिलते-जुलते ढंग से बनाए गए पासवर्ड इस्तेमाल होते हैं। इसके बाद ईमेल खाते, मरीज पोर्टल, स्वास्थ्य सेवा के खातों और सोशल मीडिया खातों के लिए अलग-अलग पासवर्ड रखने चाहिए, बहु-कारक प्रमाणीकरण चालू करना चाहिए और सक्रिय सत्रों की जाँच करनी चाहिए। अपॉइंटमेंट, क्लिनिक, बीमा या भुगतान से जुड़े संदेशों के लिंक की पुष्टि किसी अलग माध्यम से करनी चाहिए। यह रिकॉर्ड बिना बढ़ा-चढ़ाकर बताए सत्यापित डेटा विवरण प्रस्तुत करता है और उपयोगकर्ता को स्वास्थ्य संबंधी निजता, संवाद की सुरक्षा तथा पासवर्ड प्रबंधन के लिए अमल में लाए जा सकने वाले कदम बताता है।