Saint Anthony Hospital में 2025 का डेटा उल्लंघन

मुख्य साक्ष्य अस्पताल के अपने डोमेन पर प्रकाशित डेटा सुरक्षा घटना की सूचना है। इसमें कहा गया है कि संभव है कि किसी अनधिकृत पक्ष ने कर्मचारियों के दो ईमेल खातों तक पहुँच प्राप्त की हो। इसमें यह भी कहा गया है कि इस घटना के कारण नेटवर्क में मौजूद कुछ असंरचित फ़ाइलों तक अनधिकृत पहुँच बनी या उन्हें प्राप्त किया गया। संगठन यह भी पुष्टि करता है कि उसने प्रभावित प्रणालियों में घटना को सीमित किया और बाहरी साइबर सुरक्षा विशेषज्ञों के साथ जाँच की।

HHS OCR ने इस घटना को स्वास्थ्य सेवा प्रदाता की श्रेणी में सूचीबद्ध किया है, इसे हैकिंग/IT घटना के रूप में वर्गीकृत किया है और प्रभावित जानकारी का स्थान ईमेल बताया है। संघीय रिकॉर्ड में दर्ज 1,46,108 प्रभावित लोगों की कुल संख्या, मरीजों की व्यक्तिगत और स्वास्थ्य जानकारी से जुड़े अस्पताल के निष्कर्ष को नियामकीय रिकॉर्ड का समर्थन देती है। HIPAA Journal ने स्वतंत्र रूप से स्रोतों की तुलना की और पहुँच की तारीख, समीक्षा पूरी होने, सूचना देने के समय और अद्यतन दायरे की पुष्टि की।

आधिकारिक सूचना के अनुसार, असंरचित फ़ाइलों और फ़ोल्डरों तक 27 फ़रवरी 2025 को या उसके आसपास पहुँच बनाई गई या उन्हें प्राप्त किया गया। घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है जिसकी सार्वजनिक स्रोतों से पुष्टि की जा सकती है। सार्वजनिक विवरण में यह नहीं बताया गया है कि संबंधित पक्ष ने पहली बार किस दिन खातों में प्रवेश किया, पहुँच कुल कितने समय तक बनी रही या अस्पताल को पहली बार घटना का पता कब चला। इसलिए इस प्रविष्टि में शुरुआत की कोई पहले की तारीख गढ़ी नहीं गई है।

Saint Anthony ने प्रभावित डेटा और लोगों की पहचान करने के लिए विशेषज्ञों के साथ काम किया और लगभग 13 फ़रवरी 2026 को फ़ाइलों की समीक्षा पूरी की। इसके बाद उसने एक वैकल्पिक सूचना प्रकाशित की और 6 मार्च 2026 को संभावित रूप से प्रभावित लोगों को डाक से सूचनाएँ भेजना शुरू किया। लगभग एक वर्ष का यह अंतराल फ़ाइलों की समीक्षा और लोगों की पहचान के मिलान की प्रक्रिया को दर्शाता है; यह दावा नहीं है कि हमलावर उस पूरी अवधि के दौरान मौजूद रहा।

मार्च 2026 के आधिकारिक बयान के अनुसार, प्रभावित असंरचित डेटा में मरीजों की व्यक्तिगत जानकारी और व्यक्तिगत स्वास्थ्य जानकारी थी। इस घटना के लिए बयान में नाम, पते, जन्मतिथियाँ, सामाजिक सुरक्षा नंबर, निदान, दवा के पर्चे या खाता नंबर अलग-अलग नहीं बताए गए हैं। लोगों की अपुष्ट संख्याओं, डेटा फ़ील्ड और हमलावरों के दावों को घटना के सार्वजनिक रूप से बताए गए दायरे का हिस्सा नहीं माना गया है।

Saint Anthony की एक पुरानी सार्वजनिक सूचना में डेटा फ़ील्ड का विस्तृत उल्लेख था, लेकिन HHS में अलग-अलग तारीखों और प्रभावित लोगों की अलग-अलग संख्याओं वाली घटनाएँ दर्ज हैं। उन्हें अपने-आप एक साथ जोड़ना विश्वसनीय नहीं होगा। यह प्रविष्टि मार्च 2026 की उस सूचना से संबंधित है जिसमें 1,46,108 लोगों का उल्लेख है। इसमें पहले की घटना की फ़ील्ड सूची को नई घटना के दायरे में शामिल नहीं किया गया है। यह भी नहीं माना गया है कि हर व्यक्ति की फ़ाइलों में जानकारी की एक जैसी श्रेणियाँ थीं।

Saint Anthony की फ़ोरेंसिक जाँच में पाया गया कि इस घटना से उसकी इलेक्ट्रॉनिक स्वास्थ्य रिकॉर्ड प्रणाली प्रभावित नहीं हुई थी। इसका मतलब यह नहीं है कि घटना में कोई स्वास्थ्य जानकारी शामिल नहीं थी: ईमेल परिवेश से जुड़ी असंरचित फ़ाइलों में मरीजों की व्यक्तिगत और संरक्षित स्वास्थ्य जानकारी मिली थी। यह अंतर केंद्रीय इलेक्ट्रॉनिक रिकॉर्ड प्लेटफ़ॉर्म को ईमेल या नेटवर्क के स्थानों पर रखे दस्तावेज़ों से अलग करता है।

इसीलिए LeakData प्रभावित प्रणाली के रूप में ईमेल की पहचान करता है और यह संकेत नहीं देता कि पूरे क्लिनिकल प्लेटफ़ॉर्म की सुरक्षा भंग हुई थी। असंरचित फ़ाइलें अटैचमेंट, स्कैन किए गए दस्तावेज़ या किसी तय संरचना के बिना बनाए गए रिकॉर्ड हो सकते हैं, लेकिन स्रोत उनके सटीक प्रारूप नहीं बताते। इसलिए इन संभावनाओं को तथ्यों के रूप में शामिल नहीं किया गया है। जानकारी उजागर होने का दर्ज दायरा उन्हीं दो श्रेणियों तक सीमित है जिनकी अस्पताल ने स्पष्ट रूप से पुष्टि की है।

आधिकारिक स्रोत द्वारा प्रकाशित प्रभावित लोगों या रिकॉर्ड की संख्या घटना के बताए गए दायरे को दर्शाती है। इसका यह अर्थ नहीं है कि बताई गई हर डेटा श्रेणी प्रत्येक व्यक्ति पर लागू होती थी। यह संघीय नियामक को बताई गई प्रभावित लोगों की कुल संख्या है, न कि फ़ाइलों, ईमेल खातों या अलग-अलग डेटा फ़ील्ड की संख्या। दो कर्मचारी खातों का उल्लेख बताता है कि घटना में पहुँच किन खातों के जरिए बनी; इसे प्रभावित लोगों की संख्या नहीं समझना चाहिए।

HHS पोर्टल पर Saint Anthony की ईमेल से जुड़ी एक छोटी घटना भी दर्ज है, जिसकी सूचना 2025 में दी गई थी। इसलिए दोहराव की जाँच केवल संगठन के नाम के आधार पर नहीं की गई। इस रिकॉर्ड की पहचान 27 फ़रवरी की पहुँच की तारीख, 6 मार्च 2026 को दी गई सूचना और 1,46,108 प्रभावित लोगों के दायरे, इन तीनों को साथ लेकर की जाती है। संघीय रिकॉर्ड की अलग-अलग प्रविष्टियों को जोड़कर कुल नहीं निकाला गया है, और अलग-अलग घटनाओं में प्रभावित लोगों के किसी अज्ञात दोहराव की गणना नहीं की गई है।

सूचना जारी करते समय अस्पताल ने कहा था कि उसे ऐसे किसी साक्ष्य की जानकारी नहीं थी जिससे पता चलता हो कि जानकारी का दुरुपयोग हुआ था या पहचान की चोरी अथवा धोखाधड़ी हुई थी। फिर भी उसने प्रभावित लोगों को वित्तीय खातों के विवरण, क्रेडिट रिपोर्ट और स्वास्थ्य बीमा के लाभ-विवरणों की नियमित समीक्षा करने की सलाह दी। किसी अपरिचित सेवा, दावे या भुगतान के बारे में संबंधित सेवा प्रदाता या बीमाकर्ता के किसी ज्ञात आधिकारिक माध्यम से पुष्टि करनी चाहिए।

Saint Anthony के नाम पर भेजे गए अप्रत्याशित लिंक, भुगतान के अनुरोध और पहचान सत्यापन के संदेशों की विशेष सावधानी से जाँच करनी चाहिए, क्योंकि इस घटना से जुड़ी जानकारी लक्षित फ़िशिंग में मदद कर सकती है। सूचना पाने वाले लोगों को डाक से मिले अपने पत्र में बताए गए उनसे संबंधित दायरे और आधिकारिक संपर्क विवरण पर भरोसा करना चाहिए। LeakData चोरी की गई मरीजों की फ़ाइलें न प्रकाशित करता है, न उनमें खोज करता है; यह केवल सत्यापित घटना मेटाडेटा, स्रोत और आगे उठाए जा सकने वाले व्यावहारिक कदमों के बारे में मार्गदर्शन प्रदान करता है।