OpenLoop Health में 2026 का डेटा उल्लंघन

संगठन को 7 जनवरी 2026 को पता चला कि एक अनधिकृत पक्ष ने कुछ सिस्टम तक पहुँच बनाई थी। इसके बाद उसने घटना से निपटने की प्रक्रिया शुरू की। साइबर सुरक्षा विशेषज्ञों के साथ की गई जाँच में पुष्टि हुई कि तीसरे पक्ष की पहुँच 7 और 8 जनवरी को बनी हुई थी और उसने इस अवधि के दौरान कुछ विशिष्ट फ़ाइलों की प्रतिलिपियाँ बनाई थीं। इस निष्कर्ष का अर्थ है कि डेटा हासिल किए जाने की पुष्टि संगठन ने की है; यह केवल जानकारी देखे जाने की संभावना का मामला नहीं है।

HHS OCR ने इस घटना को हैकिंग/IT घटना, जानकारी के स्थान को नेटवर्क सर्वर और OpenLoop को व्यावसायिक सहयोगी के रूप में दर्ज किया है। HIPAA Journal ने कैलिफ़ोर्निया की सूचना की तुलना संघीय रिकॉर्ड से की और पहुँच की अवधि, फ़ाइलों की प्रतिलिपियाँ बनाए जाने तथा 7,16,000 लोगों के प्रभावित होने की जानकारी दी। स्रोत न तो शुरुआती पहुँच बनाने के तरीके की पुष्टि करते हैं, न ही इस हमले को किसी नामित रैंसमवेयर समूह से जोड़ते हैं।

घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है जिसकी सार्वजनिक स्रोतों से पुष्टि की जा सकती है। अनधिकृत गतिविधि 8 जनवरी को समाप्त हो गई थी। घटना का पता चलने के बाद संगठन ने अपने सिस्टम सुरक्षित किए और यह पहचानने के लिए सामग्री की समीक्षा की कि किन फ़ाइलों की प्रतिलिपियाँ बनाई गई थीं। घटना का पता चलने, पहुँच समाप्त होने और सूचना दिए जाने की तारीखों को शुरुआत की तारीख से अलग रखा गया है।

OpenLoop ने बाद में प्रभावित व्यक्तियों को सूचित किया और 17 मार्च 2026 को संघीय HHS पोर्टल पर घटना की जानकारी प्रस्तुत की गई। मई में अपडेट किए गए समाचार रिकॉर्ड ने संघीय रिकॉर्ड में दर्ज कुल 7,16,000 लोगों की संख्या की पुष्टि की। पहुँच की अवधि कम होने से जोखिम समाप्त नहीं हो जाता: फ़ाइलों की प्रतिलिपियाँ बनाए जाने की पुष्टि का अर्थ है कि जानकारी प्रभावित सिस्टम से बाहर चली गई थी।

बताई गई व्यक्तिगत जानकारी में नाम, डाक पते, ईमेल पते और जन्मतिथियाँ शामिल थीं। जिन फ़ाइलों की प्रतिलिपियाँ बनाई गई थीं, उनमें चिकित्सा संबंधी जानकारी भी थी। संगठन की सूचना में निदान, उपचार या दवा के पर्चों जैसे अधिक विशिष्ट विवरणों को अलग-अलग नहीं गिनाया गया था।

हर व्यक्ति के लिए फ़ाइलों की सामग्री एक जैसी नहीं थी, और जारी जानकारी में यह नहीं कहा गया था कि सभी प्रभावित लोगों के लिए हर श्रेणी की जानकारी मौजूद थी। व्यक्तियों की अपुष्ट संख्या, डेटा के अपुष्ट विवरण और हमलावरों के दावों को घटना के सार्वजनिक रूप से दर्ज दायरे का हिस्सा नहीं माना जाता। भुगतान कार्ड, बैंक खाते, पासवर्ड और बायोमेट्रिक जानकारी भी घटना के पुष्ट हिस्सों के रूप में नहीं बताई गई थीं, इसलिए इन्हें शामिल नहीं किया गया है।

आधिकारिक स्रोत द्वारा प्रकाशित प्रभावित व्यक्तियों या रिकॉर्ड की संख्या घटना के बताए गए दायरे को दर्शाती है। इसका अर्थ यह नहीं है कि बताई गई डेटा की हर श्रेणी प्रत्येक व्यक्ति पर लागू थी। संगठन ने HIPAA के तहत सूचना देने के अपने दायित्वों के अनुसार संघीय प्राधिकरण को यही दायरा बताया था। LeakData इस संख्या को पूर्णांकित नहीं करता, किसी समाचार शीर्षक के आधार पर इसकी दोबारा गणना नहीं करता और अलग-अलग ग्राहक समूहों के लिए अनुमानित उप-योग नहीं बनाता।

Stuckin2019 नाम इस्तेमाल करने वाले एक हमलावर ने 16 लाख मरीज़ों से संबंधित डेटा हासिल करने का दावा किया और कहा कि नमूने प्रकाशित किए गए थे। OpenLoop ने इस अधिक बड़ी संख्या की पुष्टि नहीं की, जबकि विश्वसनीय आधिकारिक रिकॉर्ड में 7,16,000 लोग दर्ज हैं। इसलिए हमलावर के दावे को कुल संख्या में नहीं जोड़ा गया है, और दोनों संख्याओं को मिलाया नहीं गया है।

किसी व्यावसायिक सहयोगी के यहाँ हुआ डेटा उल्लंघन, सीधे स्वास्थ्य सेवा देने वाले किसी एक प्रदाता के यहाँ हुई घटना की तुलना में, अधिक व्यापक देखभाल नेटवर्क को प्रभावित कर सकता है। पते और जन्मतिथियों जैसी पहचान संबंधी जानकारी के साथ चिकित्सा संबंधी जानकारी होने पर स्वास्थ्य सेवा संगठनों का रूप धरकर किए जाने वाले फ़िशिंग, फ़र्ज़ी बिलिंग या सोशल इंजीनियरिंग के प्रयास अधिक विश्वसनीय लग सकते हैं। हालाँकि, स्रोत यह नहीं बताते कि जानकारी के दुरुपयोग का पता चला है।

प्लेटफ़ॉर्म उपलब्ध कराने में OpenLoop की भूमिका के कारण रिकॉर्ड कंपनी की पहचान के अंतर्गत रखा गया है; हर ग्राहक के लिए अलग, अपुष्ट डेटा उल्लंघन प्रविष्टियाँ नहीं बनाई जातीं। HHS की प्रविष्टि में व्यावसायिक सहयोगी के रूप में किया गया वर्गीकरण इस सेवा-प्रदाता संबंध का समर्थन करता है। यह प्रविष्टि केवल उन्हीं 7,16,000 लोगों का प्रतिनिधित्व करती है जिनकी पुष्टि जनवरी की उसी पहुँच अवधि और संघीय रिपोर्ट के अंतर्गत हुई है।

OpenLoop ने प्रभावित लोगों को निःशुल्क क्रेडिट निगरानी और पहचान की चोरी से सुरक्षा की पेशकश की। सूचना पाने वालों को अपने पत्र में बताए गए दायरे की समीक्षा करनी चाहिए, क्रेडिट रिपोर्ट और स्वास्थ्य बीमा से जुड़े विवरणों पर नज़र रखनी चाहिए तथा अपरिचित सेवाओं या दावों की जानकारी संबंधित संगठन को देनी चाहिए। हालाँकि सोशल सिक्योरिटी नंबर प्रभावित न होने की जानकारी दी गई थी, फिर भी स्वास्थ्य सेवा से जुड़े अप्रत्याशित संदेशों के प्रति सावधानी बरतनी चाहिए।

किसी व्यक्ति के नाम, पते, ईमेल पते और जन्मतिथि का इस्तेमाल करने वाले संदेश ऐसे लग सकते हैं मानो वे किसी वास्तविक स्वास्थ्य सेवा प्रदाता से आए हों। लोगों को संदेशों में दिए गए लिंक के बजाय परिचित आधिकारिक माध्यमों का इस्तेमाल करना चाहिए और भुगतान या पासवर्ड के अप्रत्याशित अनुरोधों की स्वतंत्र रूप से पुष्टि करनी चाहिए।