NYC Health + Hospitals में 2025 का डेटा उल्लंघन
NYC Health + Hospitals में 2025 के डेटा उल्लंघन में एक अनधिकृत तीसरे पक्ष ने 25 नवंबर 2025 को अमेरिका की सबसे बड़ी सार्वजनिक स्वास्थ्य सेवा प्रणाली के नेटवर्क में प्रवेश किया और 11 फरवरी 2026 तक उसकी पहुँच बनी रही। संगठन ने 2 फरवरी को संदिग्ध गतिविधि की पहचान की। उसकी जाँच ने पुष्टि की कि व्यक्तिगत और संरक्षित स्वास्थ्य जानकारी वाली फ़ाइलें नेटवर्क से निकालकर बाहर ले जाई गई थीं।
उजागर हुए डेटा के प्रकार
9 संवेदनशील20- मेडिकल रिकॉर्ड नंबर
- दिव्यांगता कोड
- रोग निदान
- दवाएँ
- चिकित्सा संबंधी छवियाँ
- उपचार की योजनाएँ
- स्वास्थ्य बीमा की जानकारी
- उँगलियों के निशान
- हथेलियों के निशान
- नाम
- जाँच के परिणाम
- बिलिंग और दावों की जानकारी
- सामाजिक सुरक्षा संख्याएँ
- Government-issued IDs
- करदाता पहचान संख्याएँ
- IRS Identity Protection PINs
- सटीक भौगोलिक स्थान
- क्रेडिट और डेबिट कार्ड नंबर
- वित्तीय खातों की जानकारी और प्रमाणीकरण विवरण
- ऑनलाइन खातों के लॉगिन विवरण
इस डेटा उल्लंघन के बारे में
अमेरिकी स्वास्थ्य और मानव सेवा विभाग के नागरिक अधिकार कार्यालय द्वारा रखे गए मौजूदा उल्लंघन रिकॉर्ड में 18,00,000 वर्तमान और पूर्व मरीज़ तथा कर्मचारी शामिल हैं। आधिकारिक स्रोत में प्रकाशित प्रभावित व्यक्तियों या रिकॉर्ड की संख्या घटना के बताए गए दायरे को दर्शाती है। इसका अर्थ यह नहीं है कि बताई गई हर डेटा श्रेणी प्रत्येक व्यक्ति पर लागू थी।
डेटा चोरी की पुष्टि कैसे हुई?
NYC Health + Hospitals ने 24 मार्च 2026 को घोषणा की कि एक सुरक्षा घटना में व्यक्तिगत और संरक्षित स्वास्थ्य जानकारी उजागर हुई थी। फॉरेंसिक जाँच में पाया गया कि अनधिकृत तीसरा पक्ष लगभग ग्यारह सप्ताह तक नेटवर्क में बना रहा और फ़ाइलें निकालकर बाहर ले गया। इस बयान के आधार पर घटना को केवल डेटा देखे जाने की संभावना के बजाय डेटा हासिल किए जाने की संगठन द्वारा पुष्टि के रूप में वर्गीकृत किया गया है।
HHS OCR ने घटना को हैकिंग/IT घटना, जानकारी के स्थान को नेटवर्क सर्वर और संस्था के प्रकार को स्वास्थ्य सेवा प्रदाता के रूप में सूचीबद्ध किया है। HIPAA Journal ने संगठन के खुलासे की तुलना संघीय रिकॉर्ड की प्रविष्टि से की और पहुँच की अवधि, फ़ाइलें बाहर ले जाए जाने, प्रभावित समूहों और व्यापक डेटा श्रेणियों की पुष्टि की। स्रोत इस हमले के लिए किसी नामित रैंसमवेयर समूह को ज़िम्मेदार नहीं ठहराते।
नेटवर्क तक पहुँच और सूचना दिए जाने का घटनाक्रम क्या था?
हमलावर ने पहली बार 25 नवंबर 2025 को नेटवर्क तक पहुँच बनाई। संगठन ने 2 फरवरी 2026 को संदिग्ध गतिविधि का पता लगाया और सिस्टम सुरक्षित किए, लेकिन जाँच में पाया गया कि पहुँच 11 फरवरी तक बनी रही। घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है जिसे सार्वजनिक स्रोतों से सत्यापित किया जा सकता है।
संगठन ने प्रभावित फ़ाइलों की समीक्षा जारी रखते हुए मार्च 2026 में सार्वजनिक घोषणा की। HHS की तालिका में दर्ज प्रविष्टि में सूचना जमा करने की तारीख 24 मार्च है और 18 लाख लोग दिखाए गए हैं। NYC Health + Hospitals ने कहा कि शुरुआती पहुँच संभवतः किसी ऐसे तृतीय-पक्ष विक्रेता के यहाँ हुए सुरक्षा उल्लंघन के बाद बनी थी जिसका नाम नहीं बताया गया। पुष्टि के बिना इस मूल रिकॉर्ड में न तो विक्रेता का नाम दिया गया है और न ही तकनीकी तरीके का उल्लेख किया गया है।
कौन-सी चिकित्सा और बीमा जानकारी प्रभावित हुई?
चिकित्सा जानकारी में मेडिकल रिकॉर्ड नंबर, दिव्यांगता संबंधी कोड, निदान, दवाएँ, जाँच के परिणाम, चित्र और उपचार योजनाएँ शामिल थीं। इन डेटा फ़ील्ड में किसी व्यक्ति के स्वास्थ्य की विस्तृत जानकारी होती है, जिसका महत्व लंबे समय तक बना रहता है। संगठन ने यह नहीं कहा कि हर फ़ाइल में प्रत्येक चिकित्सकीय फ़ील्ड मौजूद था, इसलिए ये श्रेणियाँ किसी व्यक्ति के लिए संभावित दायरे को दर्शाती हैं।
संभव है कि स्वास्थ्य बीमा योजना और पॉलिसी की जानकारी, बीमा कंपनियों के नाम, सदस्य और समूह पहचानकर्ता, तथा Medicaid, Medicare या भुगतान करने वाली अन्य सरकारी संस्थाओं के पहचानकर्ता शामिल रहे हों। बिलिंग और दावों की जानकारी भी घटना के दायरे में थी। इन फ़ील्ड का इस्तेमाल धोखाधड़ी वाले स्वास्थ्य सेवा दावों, चिकित्सा पहचान की चोरी और लक्षित बीमा धोखाधड़ी के लिए किया जा सकता है।
कौन-सा पहचान, बायोमेट्रिक और स्थान संबंधी डेटा शामिल था?
व्यक्तिगत जानकारी वाले फ़ील्ड में नाम, Social Security नंबर, ड्राइविंग लाइसेंस या अन्य सरकारी पहचान नंबर और करदाता पहचान नंबर शामिल थे। IRS द्वारा जारी Identity Protection PIN और सटीक भौगोलिक स्थान का डेटा भी घटना के दायरे में था। क्रेडिट या डेबिट कार्ड नंबर और वित्तीय खातों की जानकारी या लॉगिन विवरण भी शामिल थे, जिससे कर, सरकारी लाभ और नए खातों से जुड़ी धोखाधड़ी के जोखिम बढ़ जाते हैं।
फ़ाइलों में उँगलियों और हथेलियों के निशान जैसी बायोमेट्रिक जानकारी तथा ऑनलाइन खातों के लॉगिन विवरण मौजूद थे। पासवर्ड बदले जा सकते हैं, लेकिन बायोमेट्रिक विशेषताएँ स्थायी होती हैं, इसलिए इसके परिणाम अधिक समय तक बने रह सकते हैं। इस विस्तृत सूची का अर्थ यह नहीं है कि प्रत्येक व्यक्ति का हर फ़ील्ड मौजूद था।
NADAP के अलग उल्लंघन को इसमें क्यों शामिल नहीं किया गया है?
लगभग उसी अवधि में देखभाल समन्वय साझेदार NADAP से जुड़ी एक अलग घटना से भी NYC Health + Hospitals के मरीज़ प्रभावित हुए थे। नवंबर 2025 की उस घटना में लगभग 5,086 लोग शामिल थे और नाम, जन्मतिथियाँ, पते, Medicaid नंबर, Social Security नंबर तथा घर पर दी जाने वाली देखभाल से संबंधित चिकित्सकीय जानकारी उजागर हुई थी।
NADAP की घटना में संगठन, घटना का पता चलने की तारीख और सूचना दिए जाने का दायरा अलग था, इसलिए उसे 18 लाख लोगों वाले नेटवर्क उल्लंघन में नहीं जोड़ा गया है। दोनों को अलग रखने से संभावित दोहरी गिनती और अलग-अलग घटनाओं को एक साथ मिलाने से बचा जाता है।
प्रभावित लोगों को क्या करना चाहिए?
NYC Health + Hospitals ने उन लोगों को 24 महीने की निःशुल्क क्रेडिट निगरानी और पहचान की चोरी से सुरक्षा की पेशकश की जो 2020 से 2 फरवरी 2026 के बीच मरीज़ या कार्यबल के सदस्य रहे थे। सूचना पाने वालों को क्रेडिट रिपोर्ट, कर और सरकारी लाभ से जुड़े खातों, कार्ड तथा बैंक लेनदेन पर नज़र रखनी चाहिए। यदि उनका Social Security नंबर शामिल था, तो उन्हें अपनी क्रेडिट रिपोर्ट पर सुरक्षा फ़्रीज़ लगाने पर विचार करना चाहिए।
चिकित्सा या बीमा विवरणों में ऐसी सेवाएँ या दावे दिखें जिन्हें वे नहीं पहचानते, तो उनकी सूचना दी जानी चाहिए। जिन लोगों की बायोमेट्रिक या ऑनलाइन खाते की जानकारी शामिल थी, उन्हें अप्रत्याशित सत्यापन अनुरोधों से सावधान रहना चाहिए और हर खाते के लिए अलग पासवर्ड रखना चाहिए।
सत्यापन और संपादकीय प्रक्रिया
LeakData घटना के नाम, तारीख, प्रभावित रिकॉर्ड की संख्या और उजागर हुए डेटा के प्रकारों का सुलभ स्रोतों से मिलान करता है। असत्यापित जानकारी को तथ्य के रूप में प्रस्तुत नहीं किया जाता, और नए साक्ष्य उपलब्ध होने पर रिकॉर्ड अपडेट किए जाते हैं।
छूटी हुई या गलत जानकारी की रिपोर्ट करें
