Oglethorpe, Inc. में 2025 की डेटा सेंध

प्राथमिक स्रोत चार पृष्ठों की डेटा सुरक्षा घटना की सूचना है, जो Oglethorpe की ओर से 31 अक्टूबर 2025 को भेजी गई थी। इस पत्र में सीधे तौर पर बताया गया है कि घटना का पता कैसे चला, फॉरेंसिक जाँच कैसे हुई, समीक्षा कब पूरी हुई, किस तरह की जानकारी हासिल की गई, कौन-से सुरक्षा उपाय किए गए और प्रभावित लोगों को कौन-सी सेवाएँ दी गईं।

दूसरा स्रोत HHS OCR का डेटा उल्लंघन पोर्टल है, जो प्रभावित लोगों की संख्या, संगठन के प्रकार, घटना की श्रेणी और जानकारी के स्थान की पुष्टि करता है। तीसरा स्रोत HIPAA Journal की 4 नवंबर 2025 की रिपोर्ट है, जो स्वतंत्र रूप से उस अवधि का वर्णन करती है जिसमें पहुँच बनाई गई थी, साथ ही फ़ाइलों की समीक्षा और सूचना के दायरे को भी बताती है। कंपनी की पहचान, घटनाक्रम, डेटा की श्रेणियाँ और 92,332 लोगों की कुल संख्या सभी स्रोतों में मेल खाती हैं।

6 जून को या उसके आसपास, Oglethorpe को एक सुरक्षा घटना का पता चला, जिसमें एक अनधिकृत तीसरे पक्ष ने उसके नेटवर्क परिवेश तक पहुँच बनाई थी। संगठन ने नेटवर्क परिवेश को सुरक्षित करने और अनधिकृत गतिविधि के दायरे की जाँच के लिए बाहरी फॉरेंसिक विशेषज्ञों की सेवाएँ लीं। HIPAA Journal में वर्णित समीक्षा के अनुसार, यह पहुँच 15 मई से 6 जून 2025 के बीच बनाई गई थी।

जाँच 16 सितंबर को पूरी हुई और इसमें यह निर्धारित किया गया कि घटना के दौरान अनधिकृत पक्ष ने कुछ व्यक्तियों की जानकारी हासिल की थी। इसके बाद Oglethorpe ने संबंधित लोगों और उनके पतों की पहचान करने के लिए प्रभावित फ़ाइलों की समीक्षा की। यह काम 23 अक्टूबर को पूरा हुआ। घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है, जिसे सार्वजनिक स्रोतों से सत्यापित किया जा सकता है।

सूचना के अनुसार, जिन डेटा फ़ील्ड तक संभवतः पहुँच बनाई गई और जिन्हें हासिल किया गया, उनमें नाम और उपनाम, जन्मतिथियाँ, ड्राइविंग लाइसेंस नंबर, सोशल सिक्योरिटी नंबर और चिकित्सा संबंधी जानकारी शामिल थीं। यह संयोजन अत्यंत संवेदनशील है, क्योंकि इसका इस्तेमाल पहचान की चोरी, धोखाधड़ी से खाते खोलने, लक्षित ठगी और चिकित्सा सेवाओं के लिए किसी व्यक्ति की पहचान के दुरुपयोग में किया जा सकता है।

संगठन ने यह नहीं कहा कि सभी 92,332 लोगों की जानकारी में हर डेटा फ़ील्ड मौजूद था। इसलिए इस प्रविष्टि में किसी उपसमूह की संख्या नहीं दी गई है और ऐसे पते, ईमेल पते, पासवर्ड, भुगतान कार्ड, बैंक खाते या स्वास्थ्य बीमा पहचानकर्ता नहीं जोड़े गए हैं जिनका खुलासा नहीं किया गया था। स्रोत यह भी स्थापित नहीं करते कि घटना रैनसमवेयर से जुड़ी थी या चोरी की गई फ़ाइलें सार्वजनिक रूप से जारी की गई थीं।

आधिकारिक स्रोत द्वारा प्रकाशित प्रभावित लोगों या रिकॉर्ड की संख्या घटना के बताए गए दायरे को दर्शाती है। इसका अर्थ यह नहीं है कि बताई गई हर डेटा श्रेणी प्रत्येक व्यक्ति पर लागू थी। यही कुल संख्या मेन के अटॉर्नी जनरल के समक्ष दायर दस्तावेज़ पर आधारित सार्वजनिक रिपोर्टों में भी आती है। यह सूचना के दायरे में आने वाले लोगों की संख्या है, न कि फ़ाइलों, चिकित्सा रिकॉर्ड, उपचार केंद्रों में हुई मुलाकातों या अलग-अलग डेटा तत्वों की संख्या।

Oglethorpe एक नेटवर्क है, जो मानसिक स्वास्थ्य, नशीले पदार्थों के सेवन से जुड़ी समस्याओं के उपचार और व्यवहार संबंधी स्वास्थ्य सेवाओं में विशेषज्ञता रखने वाले केंद्रों, क्लीनिकों और अस्पतालों को प्रबंधन समाधान प्रदान करता है।

संगठन ने कहा कि घटना का पता चलने के बाद उसने नेटवर्क को सुरक्षित करने के लिए बाहरी विशेषज्ञों के साथ काम किया, प्रभावित सिस्टम का डेटा मिटाकर उन्हें दोबारा तैयार किया और सिस्टम तथा सर्वर की सुरक्षा से जुड़ी नीतियों, प्रक्रियाओं और सॉफ़्टवेयर की समीक्षा की या उनमें बदलाव किए। Oglethorpe ने FBI को भी सूचित किया और कहा कि वह जाँच में पूरा सहयोग कर रहा था।

31 अक्टूबर के पत्र में कहा गया है कि उस तारीख तक किसी विशिष्ट दुरुपयोग का कोई प्रमाण नहीं मिला था। फिर भी, प्रभावित व्यक्तियों को बारह महीने के लिए एक क्रेडिट ब्यूरो की जानकारी पर आधारित क्रेडिट निगरानी, क्रेडिट रिपोर्ट और स्कोर की सेवा, तथा धोखाधड़ी से संबंधित सहायता निःशुल्क दी गई। सूचना दिए जाने के समय किसी दुरुपयोग की जानकारी न होने से बाद में पहचान या स्वास्थ्य सेवा से जुड़ी धोखाधड़ी की संभावना समाप्त नहीं हो जाती।

सूचना प्राप्त करने वाले लोगों को पत्र में दी गई पंजीकरण अवधि के भीतर निःशुल्क निगरानी सेवा सक्रिय कर लेनी चाहिए। उन्हें नियमित रूप से अपनी क्रेडिट रिपोर्ट, नए खाते खोलने के लिए की गई क्रेडिट पूछताछ और स्वास्थ्य सेवाओं के इतिहास की समीक्षा करनी चाहिए। कोई अपरिचित क्रेडिट खाता, चिकित्सा प्रक्रिया या बीमा दावा दिखने पर संबंधित संस्था के पहले से ज्ञात आधिकारिक माध्यम से इसकी जानकारी देनी चाहिए।

सोशल सिक्योरिटी नंबर और चिकित्सा संबंधी जानकारी का संयोजन लक्षित फ़िशिंग संदेशों को विश्वसनीय बना सकता है। अचानक आए ऐसे संदेशों के लिंक सीधे नहीं खोलने चाहिए, जो Oglethorpe, किसी उपचार केंद्र, क्रेडिट ब्यूरो या बीमा कंपनी की ओर से होने का दावा करते हों। संपर्क की शुरुआत आधिकारिक वेबसाइट या सत्यापित फ़ोन नंबर के माध्यम से करनी चाहिए।