Palomar Health Medical Group में 2024 का डेटा उल्लंघन

मुख्य प्रमाण PHMG के अपने डोमेन पर उपलब्ध 3 जुलाई 2024 की “डेटा संबंधी घटना की सूचना” का PDF है। यह सूचना उस समय प्रकाशित हुई थी जब जाँच जारी थी। इसमें अनधिकृत पहुँच की अवधि बताई गई है, फ़ाइलों की प्रतिलिपियाँ बनाए जाने की संभावना जताई गई है और यह भी बताया गया है कि कुछ फ़ाइलें शायद अब पुनः प्राप्त न की जा सकें। संगठन ने यह भी स्पष्ट कहा था कि उस चरण में वह अभी यह नहीं पहचान सका था कि कौन-कौन से लोग और कौन-सी विशिष्ट जानकारी प्रभावित हुई थी।

दूसरा स्रोत दोबारा जारी की गई वह सूचना है, जिसे 15 अक्टूबर 2025 को कैलिफ़ोर्निया के अटॉर्नी जनरल के कार्यालय में दाखिल किया गया था। इससे पुष्टि होती है कि डेटा की समीक्षा 4 सितंबर 2025 को पूरी हुई और उसमें पाया गया कि मौजूदा तथा पूर्व मरीजों से संबंधित जानकारी प्रभावित हो सकती थी। तीसरा स्रोत HHS/OCR की प्रविष्टि है, जिसमें संघीय स्तर पर दर्ज 501 प्रभावित लोगों की संख्या, घटना का प्रकार और प्रभावित स्थान के रूप में नेटवर्क सर्वर का विवरण दिया गया है।

घटना की तारीख सार्वजनिक स्रोतों से सत्यापित की जा सकने वाली सबसे शुरुआती तकनीकी गतिविधि पर आधारित है। जब 3 जुलाई को पहली ऑनलाइन सूचना प्रकाशित हुई, तब फ़ाइलों और व्यक्तियों से जुड़ी समीक्षा जारी थी। इसी कारण उस घोषणा में प्रभावित लोगों की अंतिम कुल संख्या नहीं दी गई थी।

PHMG ने फ़ाइलों की अपनी व्यापक समीक्षा 4 सितंबर 2025 को पूरी की। उसने 15 अक्टूबर को सूचना दोबारा जारी की, ताकि वह उन लोगों तक पहुँच सके जिन्हें संभवतः पहले सूचना नहीं मिली थी और 2024 की घटना के बारे में जागरूकता बढ़ाई जा सके। HHS/OCR की प्रविष्टि जमा किए जाने की तारीख, 8 मई 2026, किसी नए साइबर हमले का संकेत नहीं है। संघीय प्रविष्टि और संगठन के दस्तावेज़, दोनों अप्रैल–मई 2024 की उसी अनधिकृत पहुँच की अवधि की ओर इशारा करते हैं।

संगठन की अद्यतन सूचना के अनुसार, शामिल डेटा का संयोजन हर व्यक्ति के लिए अलग है। पहचान और वित्त से जुड़ी सूचीबद्ध श्रेणियों में नाम, पता, जन्मतिथि, सोशल सिक्योरिटी नंबर, ड्राइविंग लाइसेंस, राज्य द्वारा जारी पहचान-पत्र, सैन्य पहचान-पत्र, पासपोर्ट और अमेरिका में विदेशी नागरिक की पंजीकरण संख्या शामिल हैं। वित्तीय खातों, भुगतान कार्ड और स्वास्थ्य बचत खातों की जानकारी भी संभावित दायरे में है।

स्वास्थ्य और खातों से जुड़ी श्रेणियों में चिकित्सा इतिहास, निदान और उपचार संबंधी जानकारी, बायोमेट्रिक डेटा, मेडिकल रिकॉर्ड नंबर, Medicare या Medicaid पहचान, मरीज का खाता नंबर और स्वास्थ्य बीमा संबंधी जानकारी शामिल हैं। ईमेल पते और पासवर्ड के संयोजन तथा उपयोगकर्ता नाम और पासवर्ड के संयोजन भी सूची में हैं। इस सूची से यह साबित नहीं होता कि हर डेटा श्रेणी सभी 501 लोगों पर लागू थी। किसी व्यक्ति को मिले सूचना-पत्र से सबसे अच्छी तरह पता चलता है कि उस व्यक्ति के लिए कौन-सी श्रेणियाँ प्रासंगिक हैं।

सार्वजनिक HHS/OCR संघीय डेटा उल्लंघन तालिका में Palomar Health Medical Group के लिए प्रभावित लोगों की संख्या 501 दिखाई गई है। आधिकारिक स्रोत द्वारा प्रकाशित प्रभावित लोगों या रिकॉर्ड की संख्या घटना के रिपोर्ट किए गए दायरे को दर्शाती है। इसका अर्थ यह नहीं है कि बताई गई हर डेटा श्रेणी हर व्यक्ति पर लागू थी। हालाँकि, PHMG ने जुलाई 2024 में सभी मरीजों के लिए सामान्य चेतावनी व्यक्तिगत समीक्षा पूरी होने से पहले जारी की थी। इसलिए 501 को उन सभी लोगों की संख्या नहीं समझना चाहिए जिन्होंने सामान्य सूचना देखी थी, न ही इसे संगठन के सभी मरीजों की कुल संख्या मानना चाहिए।

ये आँकड़े अलग-अलग सवालों का जवाब देते हैं और एक को दूसरे की जगह इस्तेमाल नहीं करना चाहिए।

ईमेल और पासवर्ड के संयोजन क्रेडेंशियल स्टफिंग हमलों में काम आ सकते हैं, यदि वही पासवर्ड अन्य जगहों पर भी इस्तेमाल किया गया हो। PHMG या उससे संबंधित स्वास्थ्य पोर्टल के लिए इस्तेमाल किए जाने वाले पासवर्ड ऐसे होने चाहिए जो किसी अन्य खाते में इस्तेमाल न हों। ईमेल और वित्तीय खातों के उन लॉगिन विवरणों को पहले बदलना चाहिए जिनका इस्तेमाल अन्य जगहों पर भी किया गया है। बहु-कारक प्रमाणीकरण सक्षम करना चाहिए। उपयोगकर्ताओं को अप्रत्याशित पासवर्ड रीसेट, भुगतान कार्ड या स्वास्थ्य खाते से जुड़े संदेशों के लिंक के बजाय जाने-पहचाने पते के माध्यम से अपने खातों तक पहुँचना चाहिए।

सोशल सिक्योरिटी नंबर, सरकारी पहचान-पत्र और वित्तीय खाते की जानकारी का संयोजन नए खाते खोलकर की जाने वाली धोखाधड़ी को आसान बना सकता है। वहीं, बीमा, मरीज के खाते, निदान और उपचार संबंधी डेटा का इस्तेमाल चिकित्सा पहचान की चोरी में हो सकता है। क्रेडिट रिपोर्ट, बैंक और कार्ड के लेनदेन तथा बीमा लाभों के विवरण की जाँच करनी चाहिए। किसी अपरिचित स्वास्थ्य सेवा प्रदाता, सेवा, दावे या बिल की जानकारी आधिकारिक माध्यमों से बीमा कंपनी और स्वास्थ्य सेवा संगठन को देनी चाहिए।

PHMG ने कहा कि उसने घटना की जाँच की, नेटवर्क परिवेश को सुरक्षित करने के लिए कदम उठाए, कानून प्रवर्तन एजेंसियों और संबंधित नियामकों को सूचित किया तथा मौजूदा सुरक्षा प्रक्रियाओं को मज़बूत किया। अपने शुरुआती और अद्यतन सार्वजनिक बयानों में उसने कहा कि उसे इस घटना से जुड़े वास्तविक दुरुपयोग या दुरुपयोग के प्रयास का कोई प्रमाण नहीं मिला था। यह बयान इस बात की गारंटी नहीं है कि बाद में कभी दुरुपयोग नहीं हो सकता।

जिन लोगों को PHMG का व्यक्तिगत पत्र मिला है, उन्हें अपनी प्रभावित डेटा श्रेणियों और संगठन द्वारा पेश किए गए किसी भी सुरक्षा विकल्प की जानकारी के लिए उसी पत्र पर भरोसा करना चाहिए। जिन लोगों को पत्र नहीं मिला है और जिनके मन में अब भी सवाल हैं, उन्हें PHMG से संपर्क करने के मौजूदा आधिकारिक माध्यम का इस्तेमाल करना चाहिए। LeakData पर किसी घटना का पेज होने मात्र से यह अर्थ नहीं निकलता कि उसे देखने वाला व्यक्ति प्रभावित लोगों में शामिल है। यह पेज सत्यापित घटना और व्यावहारिक सावधानियों का विवरण देता है। पहचान या चिकित्सा डेटा के दुरुपयोग के प्रमाण सुरक्षित रखने चाहिए और संबंधित संस्थानों को तुरंत इसकी जानकारी देनी चाहिए।