Norton Healthcare 2023: डेटा में सेंध

पुष्टि की गई सूचनाओं के अनुसार, जोखिम में पड़े डेटा के प्रकारों में नाम, संपर्क जानकारी, सोशल सिक्योरिटी नंबर, जन्म तिथि, स्वास्थ्य संबंधी जानकारी, बीमा संबंधी जानकारी और चिकित्सा पहचान संख्या शामिल हैं। कुछ फ़ाइलों में ड्राइविंग लाइसेंस नंबर या अन्य सरकारी पहचान संख्या, वित्तीय खाता संख्या और डिजिटल हस्ताक्षर भी हो सकते हैं। यह दावा नहीं किया गया है कि हर व्यक्ति के लिए ये सभी विवरण मौजूद थे; प्रभावित डेटा के प्रकार हर व्यक्ति के लिए अलग हो सकते हैं।

इन जानकारियों का एक साथ उपलब्ध होना पहचान की चोरी, स्वास्थ्य सेवाओं से जुड़े फर्जी दावों, बीमा धोखाधड़ी, वित्तीय खातों को निशाना बनाने और व्यक्ति की जानकारी के आधार पर उसे छलने वाले सोशल इंजीनियरिंग प्रयासों का विशेष रूप से बड़ा जोखिम पैदा करता है। सोशल सिक्योरिटी नंबर और जन्म तिथि स्थायी पहचान विवरण हैं; एक बार इनके उजागर होने के बाद केवल पासवर्ड बदलने से जोखिम पूरी तरह समाप्त नहीं होता। वहीं, स्वास्थ्य और बीमा संबंधी जानकारी हमलावरों को भरोसा हासिल करने के लिए मरीज़ से जुड़े संबंधों, बिलिंग, अपॉइंटमेंट, लैब के नतीजों, बीमा स्वीकृतियों या खर्च की प्रतिपूर्ति जैसे विषयों पर अधिक विश्वसनीय बहाने गढ़ने में मदद कर सकती है।

सेंध की पुष्टि की गई अवधि 7 मई 2023 से 9 मई 2023 के बीच है; इसका पता चलने की तिथि 9 मई 2023 दर्ज है। नियामक संस्था को दी गई सूचना में प्रभावित लोगों की कुल संख्या 25,00,000 बताई गई है। प्रभावित लोगों की दर्ज संख्या इसी आँकड़े पर आधारित है। घटना का प्रकार बाहरी सिस्टम में सेंध और रैनसमवेयर हमले के रूप में बताया गया है। कंपनी ने कहा कि घटना के बाद उसने बाहरी सुरक्षा विशेषज्ञों के साथ मिलकर अनधिकृत पहुँच समाप्त की और सुरक्षा उपायों को मज़बूत किया।

इस रिकॉर्ड में ऐसी भाषा का इस्तेमाल नहीं किया गया है जिससे लगे कि मेडिकल रिकॉर्ड सिस्टम या मरीज़ पोर्टल की सुरक्षा सीधे भंग हुई थी, क्योंकि आधिकारिक सूचना में कहा गया है कि इन सिस्टमों तक पहुँच नहीं बनाई गई थी। इसी तरह, यह नहीं माना गया है कि सभी लोगों की वित्तीय खाता संख्या, डिजिटल हस्ताक्षर या सरकारी पहचान संबंधी विवरण मौजूद थे। इन्हें केवल अतिरिक्त जोखिम वाले क्षेत्रों के रूप में वर्गीकृत किया गया है, जो कुछ मामलों में शामिल रहे हो सकते हैं। इस तरह, रिकॉर्ड बिना अतिशयोक्ति के सेंध के बड़े पैमाने और उसके सत्यापित दायरे, दोनों को दर्शाता है।

जोखिम में पड़े मुख्य समूहों में Norton Healthcare के मरीज़, कर्मचारी, पूर्व कर्मचारी, वे लोग जिनकी ज़िम्मेदारी कर्मचारी संभालते हैं और लाभार्थी शामिल हैं। सूचनाओं में बताया गया था कि फ़ाइलों में मुख्य रूप से मरीज़ों, कर्मचारियों और आश्रितों की जानकारी थी। इसलिए, केवल सक्रिय मरीज़ खाते वाले लोग ही नहीं, बल्कि पहले स्वास्थ्य सेवाएँ ले चुके लोग, कर्मचारी रिकॉर्ड में दर्ज लोग या किसी कर्मचारी के रिश्तेदार के रूप में सिस्टम में शामिल लोग भी प्रभावित हो सकते हैं।

नाबालिगों के लिए भी एक सूचना का प्रारूप उपलब्ध है, इसलिए बच्चों की पहचान से जुड़े जोखिम विशेष रूप से महत्वपूर्ण हैं। बच्चों के सोशल सिक्योरिटी नंबर या पहचान संबंधी जानकारी का लंबे समय तक बिना पता चले दुरुपयोग हो सकता है, क्योंकि वयस्कों की तुलना में उनके क्रेडिट इतिहास या वित्तीय गतिविधियों की निगरानी कम गहराई से की जाती है। मौजूदा और पूर्व कर्मचारियों के मामले में वेतन, अतिरिक्त लाभ, बीमा और आश्रितों की जानकारी के ज़रिए लक्षित धोखाधड़ी के प्रयास देखने को मिल सकते हैं।

जो लोग प्रभावित हो सकते हैं, उन्हें सबसे पहले यह देखना चाहिए कि उन्हें मिली सूचना में कौन-कौन से डेटा विवरण शामिल हैं। यदि इनमें सोशल सिक्योरिटी नंबर, जन्म तिथि, सरकारी पहचान संबंधी विवरण या वित्तीय खाता संख्या शामिल है, तो क्रेडिट फ़्रीज़, धोखाधड़ी की चेतावनी दर्ज कराने और खाते की गतिविधियों की निगरानी जैसे सुरक्षात्मक उपायों पर गंभीरता से विचार करना चाहिए। स्वास्थ्य बीमा विवरणों, चिकित्सा बिलिंग रिकॉर्ड और स्वास्थ्य सेवा प्रदाताओं से हुए पत्राचार की नियमित जाँच करनी चाहिए।

अचानक आने वाले फ़ोन कॉल, ईमेल, टेक्स्ट संदेश या डाक से मिले अनुरोधों के प्रति सावधानी बरतनी चाहिए। यदि स्वास्थ्य सेवाओं, बीमा, बिलिंग में सुधार, पहचान के सत्यापन या मुफ़्त सुरक्षा सेवाओं के बहाने सोशल सिक्योरिटी नंबर, बैंक की जानकारी, सत्यापन कोड या खाते का पासवर्ड माँगा जाए, तो यह जानकारी साझा नहीं करनी चाहिए। संस्था से संपर्क करते समय उपयोगकर्ताओं को सूचनाओं या आधिकारिक वेबसाइट में दिए गए सत्यापित माध्यमों का इस्तेमाल करना चाहिए और प्राप्त लिंक पर सीधे भरोसा नहीं करना चाहिए।

स्वास्थ्य सेवा संगठनों के लिए यह घटना दिखाती है कि नेटवर्क स्टोरेज उपकरणों की सुरक्षा को मरीज़ पोर्टल की सुरक्षा जितना ही महत्वपूर्ण मानना ज़रूरी है। मुख्य मेडिकल रिकॉर्ड सिस्टम की सुरक्षा भंग न होने पर भी फ़ाइल साझा करने वाले क्षेत्रों, अभिलेखागार, मानव संसाधन दस्तावेज़ों और बीमा रिकॉर्ड में बड़ी मात्रा में संवेदनशील डेटा हो सकता है। इसलिए, डेटा को न्यूनतम रखना, फ़ाइल स्तर पर पहुँच का नियंत्रण, नेटवर्क को अलग-अलग खंडों में बाँटना, बैकअप की नियमित जाँच, व्यवहार की निगरानी और उच्च जोखिम वाले फ़ाइल भंडारण क्षेत्रों के लिए अलग सुरक्षा परतें अनिवार्य हो जाती हैं।

उपयोगकर्ताओं की दीर्घकालिक सुरक्षा को केवल दो साल की निगरानी सेवा तक सीमित नहीं मानना चाहिए। सोशल सिक्योरिटी नंबर, जन्म तिथियाँ और स्वास्थ्य संबंधी जानकारी स्थायी होती हैं; इनका इस्तेमाल वर्षों बाद भी फर्जी आवेदन करने, खाते तक पहुँच बहाल करने या स्वास्थ्य बीमा धोखाधड़ी के लिए किया जा सकता है। प्रभावित लोगों को अपनी क्रेडिट रिपोर्ट, स्वास्थ्य बीमा विवरण, अप्रत्याशित वसूली पत्रों और पता बदलने की सूचनाओं की नियमित अंतराल पर जाँच जारी रखनी चाहिए।

LeakData पर यह रिकॉर्ड उपयोगकर्ताओं को Norton Healthcare में 2023 में हुई सेंध की पुष्टि की गई तिथि, प्रभावित लोगों की कुल संख्या और खुलासा किए गए डेटा के प्रकार समझने योग्य ढंग से बताने के लिए तैयार किया गया है। ईमेल या डोमेन की जाँच में यह रिकॉर्ड दिखाई देना अपने आप में यह साबित नहीं करता कि किसी व्यक्ति के कौन-से विवरण प्रभावित हुए थे; हालाँकि, यह संकेत देता है कि Norton Healthcare से मरीज़, कर्मचारी, पूर्व कर्मचारी, आश्रित या लाभार्थी के रूप में जुड़े उपयोगकर्ताओं को सूचनाओं की सावधानी से समीक्षा करनी चाहिए।

यह रिकॉर्ड देखने पर उपयोगकर्ताओं को सबसे पहले यह आकलन करना चाहिए कि वे स्वास्थ्य सेवाएँ लेने वाले व्यक्ति, कर्मचारी या आश्रित के रूप में संस्था से किस तरह जुड़े हैं। इसके बाद उन्हें पहचान, क्रेडिट, स्वास्थ्य बीमा और वित्तीय खातों से जुड़ी गतिविधियों पर नज़र रखनी चाहिए। यदि कोई संदिग्ध चिकित्सा बिल, बीमा लेनदेन, क्रेडिट आवेदन या खाते में बदलाव दिखाई दे, तो संबंधित संस्था से किसी स्वतंत्र माध्यम से सीधे संपर्क करना चाहिए। इस रिकॉर्ड को अत्यधिक संवेदनशील वर्ग में रखा गया है, क्योंकि इसमें पहचान संबंधी डेटा, स्वास्थ्य संबंधी जानकारी, बीमा संबंधी जानकारी और कुछ लोगों के लिए वित्तीय खाते या सरकारी पहचान संबंधी विवरणों से जुड़े जोखिम हैं।