Springfield Hospital में 2025 का डेटा सुरक्षा उल्लंघन

प्राथमिक स्रोत अस्पताल की अपनी वेबसाइट पर 10 अप्रैल 2026 को प्रकाशित “डेटा सुरक्षा घटना की सूचना” है। इसमें सीधे तौर पर एक कर्मचारी के खाते, 17 दिसंबर को हासिल की गई पहुँच, ईमेल टेनेंट में घटना को सीमित करने के कदमों, 10 फ़रवरी को किए गए डेटा आकलन, पुष्टि किए गए डेटा फ़ील्ड और समर्पित सहायता फ़ोन लाइन का उल्लेख है।

HHS OCR का रिकॉर्ड Springfield Hospital को वर्मॉन्ट के एक स्वास्थ्य सेवा प्रदाता के रूप में वर्गीकृत करता है। इसमें 5,892 लोगों, 10 अप्रैल 2026 को विवरण जमा किए जाने, डेटा का स्थान ईमेल होने और घटना का प्रकार हैकिंग/IT होने की जानकारी दर्ज है। न्यू हैम्पशायर के अटॉर्नी जनरल की एक फ़ाइल में भी उपभोक्ताओं के लिए जारी सूचना उपलब्ध है। राज्य का यह दूसरा आधिकारिक रिकॉर्ड सूचना देने की प्रक्रिया की पुष्टि करता है।

आधिकारिक सूचना के अनुसार, एक अनधिकृत व्यक्ति ने 17 दिसंबर को Springfield Hospital के एक कर्मचारी के ईमेल खाते तक पहुँच हासिल की। समस्या का पता चलने के बाद अस्पताल ने अपने ईमेल टेनेंट को सुरक्षित किया और घटना की प्रकृति तथा दायरे की विस्तृत जाँच शुरू की। जाँच में यह भी देखा गया कि खाते में व्यक्तिगत या स्वास्थ्य संबंधी डेटा था या नहीं।

10 फ़रवरी को अस्पताल को पता चला कि जिस खाते तक पहुँच हासिल की गई थी, उसमें सीमित मात्रा में व्यक्तिगत और स्वास्थ्य संबंधी जानकारी थी। संभव है कि अनधिकृत पक्ष ने यह जानकारी देखी हो। सार्वजनिक बयान में निश्चित रूप से नहीं कहा गया है कि ईमेल डाउनलोड किए गए, आगे भेजे गए या अनधिकृत रूप से बाहर निकाले गए थे। इसमें यह भी नहीं बताया गया है कि पहुँच किसने हासिल की या शुरुआती पहुँच किस तरीके से हासिल की गई।

जानकारी हर व्यक्ति के लिए अलग थी, लेकिन इसमें पूरे नाम, जन्मतिथियाँ और सोशल सिक्योरिटी नंबर शामिल हो सकते हैं। इन जानकारियों के एक साथ उपलब्ध होने से धोखाधड़ी वाले क्रेडिट आवेदनों, कर-संबंधी पहचान धोखाधड़ी और लक्षित फ़िशिंग का जोखिम बढ़ सकता है। अस्पताल की सूचना का यह अर्थ नहीं है कि सूचीबद्ध हर डेटा फ़ील्ड सभी 5,892 लोगों पर लागू था।

आधिकारिक सूचना में पते, फ़ोन नंबर, ईमेल पते, पासवर्ड, ड्राइविंग लाइसेंस, पासपोर्ट, बैंक खाते, भुगतान कार्ड या स्वास्थ्य बीमा नंबर को प्रभावित डेटा फ़ील्ड के रूप में सूचीबद्ध नहीं किया गया है। क्रेडिट फ़्रीज़ से जुड़े सामान्य मार्गदर्शन में जिन पहचान दस्तावेज़ों का उल्लेख है, वे इस घटना के डेटा का हिस्सा नहीं हैं।

स्वास्थ्य संबंधी जिन डेटा फ़ील्ड की पुष्टि हुई है, वे हैं: अस्पताल आने का कारण, इलाज करने वाले चिकित्सक का नाम और मेडिकल रिकॉर्ड नंबर। ये विवरण किसी व्यक्ति को स्वास्थ्य सेवा से जुड़ी किसी विशेष मुलाक़ात, चिकित्सकीय संदर्भ या सेवा प्रदाता से जोड़ सकते हैं। इसलिए किसी की चिकित्सकीय पहचान का इस्तेमाल करके खुद को वही व्यक्ति बताने और लक्षित सोशल इंजीनियरिंग के संदर्भ में ये संवेदनशील हैं।

स्रोत में विस्तृत निदान, इलाज के नोट्स, दवाओं के पर्चे, प्रयोगशाला जाँच के नतीजे, चित्र, सेवा की तारीखें, बिलिंग कोड या बीमा दावे जैसे अतिरिक्त डेटा फ़ील्ड का उल्लेख नहीं है। अस्पताल आने का कारण स्वास्थ्य संबंधी एक व्यापक श्रेणी है और इससे अकेले किसी विशिष्ट बीमारी का निष्कर्ष नहीं निकाला जा सकता।

अस्पताल ने कहा कि उसने ईमेल टेनेंट को सुरक्षित किया, घटना की जाँच की, प्रभावित लोगों को सूचित किया और व्यक्तिगत जानकारी की सुरक्षा के लिए अपनी कार्यप्रणालियों तथा आंतरिक नियंत्रणों का मूल्यांकन जारी रखा। आधिकारिक सूचना जारी किए जाने के समय अस्पताल ने कहा कि ऐसा कोई सबूत नहीं था कि घटना के सीधे परिणामस्वरूप किसी जानकारी का दुरुपयोग हुआ हो।

प्रभावित लोगों या खुद के प्रभावित होने की आशंका रखने वालों के लिए 1-833-289-6183 पर एक गोपनीय सहायता फ़ोन लाइन स्थापित की गई। यह सप्ताह के कार्यदिवसों में ईस्टर्न टाइम के अनुसार सुबह 8:00 बजे से रात 8:00 बजे तक उपलब्ध है। सूचना में क्रेडिट निगरानी का वादा नहीं किया गया है। इसके बजाय, इसमें मुफ़्त क्रेडिट रिपोर्ट, धोखाधड़ी अलर्ट, सुरक्षा फ़्रीज़ और चिकित्सकीय पहचान की सुरक्षा के उपायों के बारे में बताया गया है।

सूचना पाने वालों को अपनी क्रेडिट रिपोर्ट और खातों की गतिविधि की समीक्षा करनी चाहिए, ताकि ऐसी क्रेडिट पूछताछ या खातों का पता चल सके जिन्हें वे नहीं पहचानते। उन्हें स्वास्थ्य बीमा लाभ विवरण भी जाँचना चाहिए कि उनमें ऐसी मुलाक़ातें या सेवाएँ तो दर्ज नहीं हैं जिनके बारे में उन्हें जानकारी नहीं है। यदि SSN प्रभावित डेटा में शामिल था, तो क्रेडिट फ़्रीज़, धोखाधड़ी अलर्ट और IRS Identity Protection PIN उपयुक्त सुरक्षा उपाय हो सकते हैं।

Springfield Hospital का प्रतिनिधि होने का दावा करने वाले अप्रत्याशित ईमेल, संदेशों या फ़ोन कॉल में SSNs, जन्मतिथियाँ, मेडिकल रिकॉर्ड नंबर, सत्यापन कोड या भुगतान नहीं देने चाहिए। किसी सवाल की पुष्टि केवल आधिकारिक सूचना में दी गई फ़ोन लाइन के माध्यम से करनी चाहिए। यदि कोई संदिग्ध संदेश मिले या खाते में संदिग्ध गतिविधि दिखे, तो संदेश के लिंक का इस्तेमाल किए बिना संगठन के मौजूदा आधिकारिक संपर्क माध्यम से उसकी पुष्टि करनी चाहिए। जब व्यक्तिगत सूचना पत्र उपलब्ध हो, तो उस व्यक्ति से संबंधित प्रभावित डेटा के दायरे और पेश किए गए सुरक्षा विकल्पों के लिए वही प्राथमिक स्रोत है। तारीखों और डेटा श्रेणियों का अर्थ केवल उतनी ही सीमा तक निकाला जाना चाहिए, जितना सार्वजनिक स्रोतों से समर्थित हो; जिन विवरणों का खुलासा नहीं किया गया है, उन्हें पुष्ट नहीं मानना चाहिए।