North Texas Behavioral Health Authority में 2025 का डेटा सुरक्षा उल्लंघन

NTBHA ने लगभग 15 अक्टूबर 2025 को अपने कंप्यूटर सिस्टम में अनधिकृत गतिविधि का पता लगाया और उसकी प्रकृति की जाँच शुरू की। समीक्षा से पुष्टि हुई कि एक अनधिकृत तीसरे पक्ष ने 13 अक्टूबर से 15 अक्टूबर तक नेटवर्क तक पहुँच बनाई थी। प्रभावित फ़ाइलों में मरीज़ों की जानकारी की मौजूदगी और संघीय HHS रिपोर्ट से यह स्थापित होता है कि स्वास्थ्य सेवा संबंधी डेटा का सुरक्षा उल्लंघन वास्तव में हुआ था।

HHS OCR ने घटना को हैकिंग/IT घटना, जानकारी के स्थान को नेटवर्क सर्वर और संस्था के प्रकार को स्वास्थ्य सेवा प्रदाता के रूप में दर्ज किया है। HIPAA Journal ने संघीय प्रविष्टि की तुलना वैकल्पिक सूचना से की और अनधिकृत पहुँच की अवधि, फ़ाइलों की समीक्षा तथा 2,85,086 लोगों के प्रभावित होने के दायरे की पुष्टि की।

घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है जिसे सार्वजनिक स्रोतों से सत्यापित किया जा सकता है। गतिविधि का पता दो दिन बाद चला और पहुँच 15 अक्टूबर को समाप्त हुई। संगठन ने फ़ाइलों की सामग्री की समीक्षा करने और यह निर्धारित करने में लगभग तीन महीने लगाए कि कौन-कौन से लोग प्रभावित हुए हो सकते हैं; घटना का पता चलने की तारीख को उससे पहले की शुरुआत की तारीख की जगह नहीं रखा गया है।

NTBHA ने 7 जनवरी 2026 को पुष्टि की कि कुछ फ़ाइलों में व्यक्तिगत जानकारी थी और 6 मार्च को डाक से सूचनाएँ भेजना शुरू किया। HHS की प्रविष्टि में भी संघीय स्तर पर रिपोर्ट जमा करने की यही तारीख और कुल 2,85,086 लोग दर्ज हैं। अप्रैल में प्रकाशित स्वतंत्र रिपोर्टिंग में संगठन के खुलासे की तारीखें और प्रभावित लोगों का दायरा नियामकीय प्रविष्टि से मेल खाते पाए गए।

सार्वजनिक खुलासे से जिन श्रेणियों की पुष्टि हुई है, वे हैं व्यक्तिगत जानकारी, संरक्षित स्वास्थ्य जानकारी और कुछ लोगों के सोशल सिक्योरिटी नंबर। स्रोतों में नाम, पते, जन्मतिथियाँ, निदान, उपचार, बीमा या खाते के विवरण की मदवार सूची नहीं दी गई है। लोगों की असत्यापित संख्या, डेटा की अपुष्ट श्रेणियों और हमलावरों के अपुष्ट दावों को घटना के सार्वजनिक रूप से ज्ञात दायरे का हिस्सा नहीं माना गया है।

संरक्षित स्वास्थ्य जानकारी शब्द से पुष्टि होती है कि HIPAA के दायरे में आने वाला स्वास्थ्य सेवा संबंधी डेटा शामिल था, लेकिन इसका अर्थ यह नहीं है कि हर प्रभावित व्यक्ति के लिए कोई विशिष्ट चिकित्सकीय जानकारी मौजूद थी। सोशल सिक्योरिटी नंबर भी केवल संबंधित लोगों के एक उपसमूह के ही प्रभावित हुए थे।

NTBHA डलास, एलिस, हंट, कॉफ़मैन, नवारो और रॉकवॉल काउंटियों में मानसिक स्वास्थ्य और मादक पदार्थों के सेवन से जुड़े उपचार तथा सेवाओं का समन्वय करता है। किसी व्यक्ति का इन सेवाओं से जुड़ा होना भी उसकी निजी स्थिति से संबंधित हो सकता है। स्रोतों में यह नहीं बताया गया है कि किसी विशिष्ट निदान या उपचार का विवरण शामिल था, इसलिए यह प्रविष्टि सामग्री के बारे में अनुमान लगाए बिना जानकारी की संवेदनशीलता समझाती है।

सोशल सिक्योरिटी नंबर के साथ व्यक्तिगत और स्वास्थ्य संबंधी जानकारी उजागर होने से पहचान की चोरी, लक्षित धोखाधड़ी और किसी स्वास्थ्य सेवा संगठन की पहचान के झूठे इस्तेमाल का जोखिम बढ़ सकता है। NTBHA ने कहा कि सूचनाएँ जारी किए जाने के समय उसे वास्तविक दुरुपयोग या दुरुपयोग की कोशिश का कोई प्रमाण नहीं मिला था। किसी ज्ञात दुरुपयोग का न होना यह नहीं दर्शाता कि संवेदनशील जानकारी के उजागर होने से भविष्य में कोई जोखिम नहीं है।

आधिकारिक स्रोत द्वारा प्रकाशित प्रभावित लोगों या रिकॉर्ड की संख्या घटना के बताए गए दायरे को दर्शाती है। इसका अर्थ यह नहीं है कि खुलासे में बताई गई हर डेटा श्रेणी हर व्यक्ति पर लागू होती थी। यह संरक्षित स्वास्थ्य जानकारी का वह दायरा है जिसकी रिपोर्ट संगठन ने संघीय प्राधिकरण को दी थी। यह उन लोगों के उपसमूह की संख्या नहीं है जिनके सोशल सिक्योरिटी नंबर शामिल थे, और इसे हर डेटा श्रेणी के लिए अलग कुल संख्या के रूप में लागू नहीं किया जाता।

यह घटना NTBHA के नेटवर्क तक अनधिकृत पहुँच की एक ही अवधि को दर्शाती है; सेवाएँ पाने वाली छह काउंटियों को अलग-अलग डेटा सुरक्षा उल्लंघनों के रूप में दर्ज नहीं किया गया है। काउंटी या कार्यक्रम के स्तर पर लोगों की कोई सत्यापित संख्या प्रकाशित नहीं हुई थी, इसलिए कुल संख्या को अनुमान के आधार पर न तो बाँटा गया है और न ही गुणा किया गया है। इससे संभावित दोहरी गिनती और अज्ञात चिकित्सकीय डेटा श्रेणियों को जोड़ने से बचा जाता है।

NTBHA ने उन लोगों को निःशुल्क क्रेडिट निगरानी और पहचान की चोरी से सुरक्षा की सेवाएँ उपलब्ध कराईं जिनके सोशल सिक्योरिटी नंबर शामिल थे। संगठन ने कहा कि उसने पासवर्ड रीसेट किए, बहु-कारक प्रमाणीकरण का दायरा बढ़ाया और उन्नत एंडपॉइंट-डिटेक्शन टूल तैनात किए। सूचना पाने वाले लोगों को अपने पत्र में दिए गए नामांकन निर्देशों और उनके मामले में प्रभावित जानकारी के दायरे के अनुसार कदम उठाने चाहिए।

लोगों को अपनी क्रेडिट रिपोर्ट और स्वास्थ्य बीमा संबंधी विवरणों में अपरिचित खातों, सेवाओं या दावों की जाँच करनी चाहिए। NTBHA या किसी मानसिक स्वास्थ्य सेवा प्रदाता के नाम पर आने वाले अप्रत्याशित भुगतान या पहचान सत्यापन के अनुरोधों की पुष्टि किसी परिचित आधिकारिक माध्यम से करनी चाहिए।