PIH Health में 2024 का डेटा उल्लंघन

PIH Health को 1 दिसंबर 2024 को संचालन को प्रभावित करने वाले हमले का पता चला और उसने साइबर फॉरेंसिक विशेषज्ञों के साथ समीक्षा शुरू की। 16 दिसंबर 2025 के आसपास संगठन ने निर्धारित किया कि नेटवर्क के जिन हिस्सों में सेंध लगी थी, उनकी फ़ाइलों में मरीजों की जानकारी थी और हो सकता है कि हमलावर ने उन तक पहुँच बनाई हो या उन्हें प्राप्त किया हो। यह निष्कर्ष और HHS की रिपोर्ट इस घटना को व्यक्तिगत डेटा के उल्लंघन के रूप में स्थापित करते हैं।

HHS OCR ने घटना को हैकिंग/IT घटना, जानकारी के स्थान को नेटवर्क सर्वर और संस्था के प्रकार को स्वास्थ्य सेवा प्रदाता के रूप में सूचीबद्ध किया है। HIPAA Journal ने PIH Health के अपडेट किए गए बयान, नियामक रिकॉर्ड और हमले की समयरेखा की समीक्षा की और लगभग 29.5 लाख मरीजों के प्रभावित होने के दायरे की पुष्टि की। स्रोत इस बात पर सहमत हैं कि घटना केवल सिस्टम ठप होने तक सीमित नहीं थी; इससे व्यक्तिगत जानकारी और संरक्षित स्वास्थ्य जानकारी भी प्रभावित हुई।

फॉरेंसिक जाँच के निष्कर्षों के अनुसार, 14 नवंबर से 23 दिसंबर 2024 तक हमलावर की PIH Health के नेटवर्क तक पहुँच थी। घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है, जिसे सार्वजनिक स्रोतों से सत्यापित किया जा सकता है। 1 दिसंबर को पता चले हमले से कुछ कंप्यूटर सिस्टम और फ़ोन लाइनें बाधित हुईं; स्वास्थ्यकर्मियों ने देखभाल जारी रखने के लिए सिस्टम ठप होने की स्थिति में अपनाई जाने वाली प्रक्रियाओं और हाथ से बनाए गए रिकॉर्ड का उपयोग किया।

प्रभावित फ़ाइलों की विस्तृत समीक्षा और लोगों की सूची तैयार करने में लगभग एक वर्ष लगा। दिसंबर 2025 में प्रभावित लोगों की पूरी सूची प्राप्त करने के बाद, PIH Health ने संपर्क विवरण जुटाए और सूचनाएँ भेजना शुरू किया। HHS की प्रविष्टि में मूल रिपोर्ट जमा करने की तारीख 31 जनवरी 2025 बनी हुई है, जबकि अब दिखाई गई 29,47,264 की संख्या बाद में की गई दायरे की समीक्षा को दर्शाती है।

PIH Health ने कहा कि जानकारी के प्रकार हर व्यक्ति के लिए अलग थे। नाम और डाक पतों के साथ फ़ाइलों में सोशल सिक्योरिटी नंबर और करदाता पहचान नंबर भी हो सकते थे। बताए गए पहचान-संबंधी फ़ील्ड में ड्राइविंग लाइसेंस नंबर भी शामिल थे। इन जानकारियों का एक साथ होना पहचान की चोरी, कर-संबंधी धोखाधड़ी और नए खातों के दुरुपयोग का जोखिम बढ़ाता है।

चिकित्सा और स्वास्थ्य बीमा संबंधी जानकारी भी प्रभावित हुई। कुछ फ़ाइलों में वित्तीय खातों का विवरण और क्रेडिट या डेबिट कार्ड नंबर भी मौजूद थे। स्रोत यह नहीं कहते कि सभी 29,47,264 लोगों के लिए हर फ़ील्ड मौजूद था; इस विवरण में पासवर्ड, ईमेल की सामग्री और हमलावर के दावों में शामिल उपचार से जुड़े सभी विस्तृत फ़ील्ड को संगठन द्वारा पुष्टि किए गए सामान्य दायरे का हिस्सा नहीं माना गया है।

HHS OCR की चल रही जाँचों की सूची में PIH Health Inc. की एक प्रविष्टि है, जिसमें 29,47,264 व्यक्ति दर्ज हैं। यह संख्या संगठन की डेटा समीक्षा के बाद निर्धारित प्रभावित लोगों की कुल संख्या को दर्शाती है। आधिकारिक स्रोत द्वारा प्रकाशित प्रभावित व्यक्तियों या रिकॉर्ड की संख्या घटना के रिपोर्ट किए गए दायरे को दर्शाती है। इसका अर्थ यह नहीं है कि बताई गई हर डेटा श्रेणी हर व्यक्ति से संबंधित थी।

HHS की संख्या प्रभावित लोगों को दर्शाती है, न कि चुराई गई फ़ाइलों या डेटाबेस की पंक्तियों को। एक मरीज के कई मेडिकल रिकॉर्ड हो सकते हैं, इसलिए रिकॉर्ड की संख्या और लोगों की संख्या एक जैसी होना आवश्यक नहीं है।

जिस हमलावर की पहचान सार्वजनिक रूप से ज्ञात नहीं है, उसने लगभग 2 TB डेटा और मरीजों के 1.7 करोड़ रिकॉर्ड चुराने का दावा किया, फिरौती माँगी और कुछ नमूने ऑनलाइन प्रकाशित किए। दावे में चिकित्सा प्रकरणों, कैंसर के इलाज के रिकॉर्ड, निजी ईमेल और संगठन के दस्तावेज़ों का उल्लेख था। PIH Health ने शुरुआत में कहा था कि वह फिरौती के संदेश की प्रामाणिकता या डेटा चोरी के दावों की पुष्टि नहीं कर सकता।

बाद में HHS द्वारा दर्ज की गई 29,47,264 प्रभावित लोगों की संख्या से संकेत मिलता है कि 1.7 करोड़ रिकॉर्ड का दावा अलग-अलग मरीजों की संख्या नहीं दर्शाता था या बढ़ा-चढ़ाकर पेश किया गया था। आधिकारिक स्रोत द्वारा प्रकाशित प्रभावित व्यक्तियों या रिकॉर्ड की संख्या घटना के रिपोर्ट किए गए दायरे को दर्शाती है। इसका अर्थ यह नहीं है कि बताई गई हर डेटा श्रेणी हर व्यक्ति से संबंधित थी। यह प्रविष्टि नियामक द्वारा दर्ज कुल संख्या और संगठन द्वारा पुष्टि की गई जानकारी की श्रेणियों पर आधारित है।

PIH Health ने कहा कि सूचनाएँ जारी किए जाने के समय तक उसे प्रभावित जानकारी के दुरुपयोग या दुरुपयोग के प्रयास का कोई प्रमाण नहीं मिला था। उसने निःशुल्क क्रेडिट निगरानी और पहचान की चोरी से सुरक्षा की पेशकश भी की। सूचना पाने वालों को अपनी क्रेडिट रिपोर्ट, कर खातों और वित्तीय गतिविधियों की समीक्षा करनी चाहिए। यदि सोशल सिक्योरिटी नंबर प्रभावित हुआ हो, तो सुरक्षा फ़्रीज़ लगवाने पर विचार करना चाहिए।

यदि चिकित्सा और बीमा विवरण-पत्रों में कोई अपरिचित सेवा, सेवा प्रदाता या दावा दिखे, तो इसकी रिपोर्ट PIH Health और स्वास्थ्य योजना के गोपनीयता संबंधी आधिकारिक माध्यमों से की जानी चाहिए। जिन लोगों के कार्ड या खाते की जानकारी प्रभावित हुई है, वे वित्तीय संस्थान से कार्ड या खाता बदलने और निगरानी बढ़ाने के बारे में चर्चा कर सकते हैं।