Summit Pathology 2024: डेटा में सेंध

Summit Pathology की घटना के बारे में जारी सूचना में कई तरह के डेटा का उल्लेख है। प्रभावित सिस्टम में प्रथम नाम और उपनाम, पते, जन्म तिथियाँ, सोशल सिक्योरिटी नंबर, वित्तीय जानकारी, स्वास्थ्य बीमा की जानकारी, चिकित्सा बिलिंग की जानकारी और कुछ चिकित्सकीय जानकारी हो सकती है। चिकित्सकीय जानकारी में पैथोलॉजी सेवाओं से जुड़े रिकॉर्ड, जैसे निदान संबंधी जानकारी, शामिल हो सकते हैं। एक ही फ़ाइल समूह में जनसांख्यिकीय जानकारी के साथ वित्तीय और स्वास्थ्य बीमा की जानकारी होने से संकेत मिलता है कि इस घटना को केवल संपर्क जानकारी का लीक होना नहीं माना जा सकता।

इन विभिन्न प्रकारों के डेटा का एक साथ होना कई स्तरों पर जोखिम पैदा करता है। सोशल सिक्योरिटी नंबर और जन्म तिथियों का पहचान की चोरी, ऋण के लिए आवेदन, कर धोखाधड़ी और खाता पुनर्प्राप्ति प्रक्रिया के दुरुपयोग में लंबे समय तक इस्तेमाल किया जा सकता है। स्वास्थ्य बीमा और बिलिंग की जानकारी का उपयोग फ़र्जी चिकित्सा बिल बनाने, बीमा धोखाधड़ी करने और मरीज बनकर उसके खाते का इस्तेमाल करने के लिए किया जा सकता है। निदान या चिकित्सा सेवाओं की जानकारी वाले रिकॉर्ड किसी व्यक्ति की स्वास्थ्य संबंधी निजता को प्रभावित कर सकते हैं और लक्षित सोशल इंजीनियरिंग संदेशों को अधिक विश्वसनीय बना सकते हैं। इसलिए प्रभावित व्यक्तियों को न केवल अपने क्रेडिट खातों पर, बल्कि स्वास्थ्य बीमा और मरीज बिलिंग से जुड़ी गतिविधियों पर भी नज़र रखनी चाहिए।

घटना की शुरुआत और उसका पता चलने का पुष्ट समय 18 अप्रैल 2024 के आसपास है। सूचना में कहा गया है कि संदिग्ध गतिविधि देखने के बाद कंपनी ने अपना नेटवर्क सुरक्षित किया और जाँच के लिए विशेषज्ञों के साथ काम किया। इसमें यह भी बताया गया है कि संभव है कि किसी अनधिकृत पक्ष ने कुछ फ़ाइलों तक पहुँच बनाई हो या उन्हें ले लिया हो। सूचना की तारीख 18 अक्टूबर 2024 दर्ज है; यह तारीख बताती है कि उपयोगकर्ताओं को घटना के बारे में कब बताया गया। स्वास्थ्य डेटा उल्लंघन के रिकॉर्ड में Summit Pathology और Summit Pathology Laboratories, Inc. के लिए नेटवर्क सर्वर और हैकिंग/IT घटना की श्रेणी में 18,13,538 व्यक्ति सूचीबद्ध हैं।

इस रिकॉर्ड में डेटा फ़ील्ड सूचना पत्र में स्पष्ट रूप से दी गई सूची के अनुसार जोड़े गए हैं। सूचना में वित्तीय जानकारी और सोशल सिक्योरिटी नंबर का स्पष्ट उल्लेख है, इसलिए इन फ़ील्ड को शामिल किया गया है। इसके विपरीत, उपयोगकर्ता खाते का पासवर्ड, कार्ड नंबर, पासपोर्ट नंबर या इलेक्ट्रॉनिक स्वास्थ्य रिकॉर्ड सिस्टम का विवरण डेटा श्रेणियों में नहीं जोड़ा गया है, क्योंकि आधिकारिक सूचना में उनका स्पष्ट उल्लेख नहीं है। यह नहीं माना गया है कि फ़ाइलों में हर व्यक्ति के लिए वास्तव में एक जैसे फ़ील्ड मौजूद हैं, क्योंकि सूचना से संकेत मिलता है कि डेटा के प्रकार व्यक्ति के अनुसार अलग-अलग हो सकते हैं।

मुख्य रूप से जोखिम में वे मरीज हैं जो Summit Pathology से पैथोलॉजी सेवाएँ लेते हैं, और वे व्यक्ति हैं जिनकी जानकारी इन सेवाओं को पूरा करने के लिए प्रयोगशाला के सिस्टम में मौजूद है। कंपनी का कहना है कि वह चिकित्सा सेवा प्रदाताओं को पैथोलॉजी सेवाएँ देती है और सूचना पाने वाला व्यक्ति अपने स्वास्थ्य सेवा प्रदाता के माध्यम से Summit की सेवाओं के कारण प्रभावित हुआ हो सकता है। इसलिए, भले ही किसी व्यक्ति को सीधे Summit से संपर्क करना याद न हो, यदि उसके डॉक्टर या स्वास्थ्य संस्थान ने पैथोलॉजी सेवाओं के लिए Summit का उपयोग किया था, तो उसके रिकॉर्ड इस घटना के दायरे में हो सकते हैं।

मरीजों का डेटा विशेष रूप से संवेदनशील होता है, इसलिए जोखिम केवल वित्तीय धोखाधड़ी तक सीमित नहीं है। निदान संबंधी जानकारी, बिलिंग रिकॉर्ड, बीमा डेटा और पहचान संबंधी जानकारी का एक साथ उपयोग करके फ़र्जी प्रयोगशाला बिल, बीमा सत्यापन के नाम पर कॉल, स्वास्थ्य सेवा प्रदाता बनकर धोखा देने के प्रयास या व्यक्ति के अनुरूप तैयार किए गए फ़िशिंग संदेश बनाए जा सकते हैं। जिन व्यक्तियों के पास सोशल सिक्योरिटी नंबर है, उनके लिए जोखिम लंबे समय तक बना रहता है; जिनकी वित्तीय जानकारी या बिलिंग रिकॉर्ड शामिल हैं, उन्हें खाते की गतिविधियों और स्वास्थ्य सेवा से जुड़े भुगतानों पर भी नज़र रखनी चाहिए।

सूचना पाने वाले व्यक्तियों का पहला कदम यह होना चाहिए कि वे पत्र में देखें कि उनसे संबंधित किस तरह का डेटा प्रभावित हुआ हो सकता है। यदि सोशल सिक्योरिटी नंबर या वित्तीय जानकारी प्रभावित हुई है, तो क्रेडिट फ़्रीज़ लगाना, धोखाधड़ी अलर्ट सक्रिय करना और क्रेडिट रिपोर्ट की समीक्षा करना प्राथमिक कदम हैं। स्वास्थ्य बीमा और बिलिंग की जानकारी के मामले में बीमा विवरण, मरीज खातों और अप्रत्याशित प्रयोगशाला बिलों की नियमित जाँच की जानी चाहिए। यदि चिकित्सा सेवाओं या निदान संबंधी जानकारी से जुड़ा कोई संदिग्ध संदेश मिले, तो लिंक पर क्लिक करने के बजाय सीधे स्वास्थ्य सेवा प्रदाता को फ़ोन करना चाहिए।

जिन व्यक्तियों को पहचान सुरक्षा सेवाएँ उपलब्ध कराई गई हैं, उन्हें पंजीकरण की प्रक्रिया केवल सूचना में दिए गए आधिकारिक निर्देशों के अनुसार पूरी करनी चाहिए। एक ही पासवर्ड इस्तेमाल करने वाले मरीज पोर्टल, ईमेल खातों और बिलिंग सिस्टम के लिए अलग-अलग पासवर्ड तय किए जाने चाहिए, बहु-कारक प्रमाणीकरण चालू किया जाना चाहिए और पुराने सत्र बंद किए जाने चाहिए। सोशल सिक्योरिटी नंबर जैसी बदली न जा सकने वाली जानकारी लीक हुई हो सकती है, इसलिए केवल एक बार पासवर्ड बदलना पर्याप्त नहीं है। क्रेडिट, कर, बीमा और स्वास्थ्य सेवा से जुड़ी गतिविधियों की एक साथ निगरानी की जानी चाहिए।

Summit Pathology की घटना दिखाती है कि तीसरे पक्ष के पास मौजूद स्वास्थ्य डेटा का जोखिम कितना व्यापक हो सकता है, क्योंकि प्रयोगशालाएँ और पैथोलॉजी सेवा प्रदाता अनेक स्वास्थ्य सेवा संगठनों की ओर से संवेदनशील फ़ाइलों को संभालते हैं। हो सकता है कि मरीज प्रयोगशाला सेवा प्रदाता को सीधे न जानता हो; फिर भी जाँच, निदान या बिलिंग प्रक्रियाओं के कारण उसका डेटा ऐसे सिस्टम में मौजूद हो सकता है। इसलिए मरीजों को केवल अपने डॉक्टर के पोर्टल पर ही नहीं, बल्कि उन प्रयोगशालाओं और बिलिंग सेवा प्रदाताओं की सूचनाओं पर भी ध्यान देना चाहिए जिनकी सेवाएँ वे लेते हैं।

संस्थानों के लिए दीर्घकालिक रणनीति में फ़ाइलों तक पहुँच की अनुमतियाँ सीमित करना, पुराने डेटा को अनावश्यक रूप से न रखना, चिकित्सा बिलिंग डेटा को अलग सुरक्षा परतों में संग्रहित करना और ऐसे ऑडिट लॉग स्थापित करना शामिल है जो फ़ाइलों की असामान्य आवाजाही का जल्दी पता लगा सकें। जब बड़े फ़ाइल समूहों में पहचान, स्वास्थ्य और बिलिंग से जुड़ा डेटा मौजूद होता है, तो घटना का प्रभाव कई गुना बढ़ जाता है। इसलिए किसी घटना के बाद केवल सिस्टम की सफ़ाई ही नहीं, बल्कि डेटा प्रतिधारण नीतियों, नेटवर्क विभाजन, कर्मचारी प्रशिक्षण और तीसरे पक्ष को सूचना देने की प्रक्रियाओं की भी दोबारा समीक्षा की जानी चाहिए।

LeakData पर Summit Pathology 2024 की प्रविष्टि उपयोगकर्ताओं को घटना का वास्तविक दायरा समझने में मदद करने के लिए तैयार की गई है, ताकि वे जाँच सकें कि क्या वे स्वास्थ्य डेटा की इस बड़ी सेंध से जुड़े हैं। यह रिकॉर्ड घटना की तारीख 18 अप्रैल 2024, प्रभावित व्यक्तियों की संख्या 18,13,538 और आधिकारिक सूचना में स्पष्ट रूप से सूचीबद्ध डेटा के प्रकारों पर आधारित है। डेटा श्रेणियाँ पहचान, पता, जन्म तिथि, सोशल सिक्योरिटी नंबर, वित्तीय जानकारी, स्वास्थ्य बीमा की जानकारी, बिलिंग की जानकारी, चिकित्सकीय जानकारी और निदान संबंधी जानकारी के रूप में रखी गई हैं।

जिन उपयोगकर्ताओं के परिणामों में यह डेटा उल्लंघन दिखाई देता है, उन्हें अपनी क्रेडिट रिपोर्ट और स्वास्थ्य बीमा विवरण नियमित रूप से जाँचने चाहिए, अप्रत्याशित पैथोलॉजी या प्रयोगशाला बिलों के प्रति सतर्क रहना चाहिए और चिकित्सा सेवा प्रदाता होने का दावा करने वाले संदेशों से सावधान रहना चाहिए। जिन घटनाओं में व्यक्तिगत जानकारी और स्वास्थ्य संबंधी जानकारी एक साथ लीक हुई हो सकती है, उनमें जोखिम लंबे समय तक बना रहता है। इसलिए इस रिकॉर्ड का सत्यापन किया गया है और इसे सक्रिय तथा संवेदनशील के रूप में चिह्नित किया गया है; उपयोगकर्ता के कदम केवल पासवर्ड बदलने तक सीमित नहीं होने चाहिए।