UI Community HomeCare और UI Health Care में 2025 का डेटा उल्लंघन

मुख्य स्रोत University of Iowa Health Care की 29 अगस्त 2025 की सार्वजनिक सूचना है। इसमें कहा गया है कि UI Community HomeCare के सिस्टम तक बिना अनुमति पहुँच बनाई गई थी। सूचना में स्पष्ट रूप से यह भी कहा गया है कि साइबर अपराधी फ़ाइलें देख सकता था और उनकी प्रतियाँ ले सकता था। यह कथन जानकारी प्राप्त किए जाने की पुष्टि करता है, न कि केवल जानकारी तक पहुँच बनाए जाने की संभावना बताता है।

संघीय HHS OCR डेटा उल्लंघन पोर्टल पर University of Iowa Community Home Care के लिए 1,09,029 और University of Iowa Health Care के लिए 1,01,875 लोग दर्ज हैं। दोनों प्रविष्टियों में रिपोर्ट की तारीख, घटना का प्रकार और जानकारी का स्थान समान हैं: 29 अगस्त 2025, हैकिंग/IT घटना और नेटवर्क सर्वर। HIPAA Journal ने स्वतंत्र रूप से घोषणा की समीक्षा की और बताया कि इस एक घटना से लगभग 2,11,000 लोग प्रभावित हुए।

UI Community HomeCare को 3 जुलाई को पता चला कि किसी ने बिना अनुमति उसके कंप्यूटर सिस्टम तक पहुँच बनाई थी। संगठन ने सर्वर बंद किए, साइबर सुरक्षा विशेषज्ञों की मदद ली और एक कार्यदिवस के भीतर सिस्टम सुरक्षित रूप से बहाल कर दिए। घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है जिसकी पुष्टि सार्वजनिक स्रोतों से की जा सकती है।

फोरेंसिक समीक्षा में पाया गया कि उस व्यक्ति ने न केवल कुछ फ़ाइलें देखीं, बल्कि उनकी प्रतियाँ भी लीं। UI Community HomeCare और UI Health Care के ऑपरेटिंग सिस्टम, इलेक्ट्रॉनिक स्वास्थ्य रिकॉर्ड और सूचना प्रौद्योगिकी सेवाएँ अलग-अलग थीं, लेकिन उनके पुराने संबंध के तहत मरीज, कर्मचारी और डेटा फ़ाइलें साझा होती थीं। इसलिए संबद्ध संगठन के सिस्टम में रखी UI Health Care की कुछ फ़ाइलें भी इस घटना से प्रभावित हुईं।

आधिकारिक सूचना के अनुसार, संभावित रूप से शामिल जानकारी में नाम, जन्मतिथियाँ, पते, फ़ोन नंबर, मेडिकल रिकॉर्ड नंबर, स्वास्थ्य सेवा प्रदाता, सेवा की तारीखें, स्वास्थ्य बीमा की जानकारी, सोशल सिक्योरिटी नंबर और चिकित्सा मुलाकातों के प्रकार थे। इन्हें व्यक्तिगत जानकारी और संरक्षित स्वास्थ्य जानकारी की व्यापक श्रेणियों के अंतर्गत दर्ज किया गया है। हर व्यक्ति के लिए शामिल जानकारी का संयोजन एक जैसा नहीं था, इसलिए किसी भी एक प्रकार की जानकारी को सभी प्रभावित लोगों से संबंधित नहीं माना गया है।

सूचना के FAQ में कहा गया है कि जिन कुछ प्राप्तकर्ता समूहों को सूचना भेजी गई थी, उनके सोशल सिक्योरिटी नंबर शामिल होने का कोई संकेत नहीं था। वहीं, मुख्य सार्वजनिक सूचना में इसे संभावित रूप से शामिल जानकारी में गिनाया गया है। जिन जानकारियों का उल्लेख नहीं किया गया है (जैसे रोग-निदान, दवाओं के पर्चे, भुगतान कार्ड या पासवर्ड) उनके शामिल होने का अनुमान नहीं लगाया गया है।

आधिकारिक जाँच ने पुष्टि की कि UI Health Care के इलेक्ट्रॉनिक स्वास्थ्य रिकॉर्ड सिस्टम तक कोई अनधिकृत पहुँच नहीं बनाई गई थी। इससे घटना का महत्व कम नहीं होता, क्योंकि साझा फ़ाइलों में मौजूद पहचान, संपर्क, बीमा और मरीजों के स्वास्थ्य सेवा प्रदाताओं से संबंधों की जानकारी की प्रतियाँ फिर भी ली गई थीं। इस विवरण में केवल उन फ़ाइलों के दायरे की चर्चा है जिनके प्रभावित होने की पुष्टि हुई है। इसमें यह दावा नहीं किया गया है कि पूरे क्लिनिकल सिस्टम की सुरक्षा भंग हुई थी।

संगठन ने कानून प्रवर्तन अधिकारियों से संपर्क किया, निगरानी के नए उपकरण लागू किए, फ़र्मवेयर अपडेट किया, पासवर्ड बदले और प्रभावित हार्डवेयर से फ़ाइलें हटाईं। उसने कहा कि सूचनाएँ जारी किए जाने तक दुरुपयोग का कोई संकेत नहीं मिला था। इस निष्कर्ष से जानकारी प्राप्त किए जाने की पुष्टि नहीं बदलती, और इससे भविष्य में पहचान, बीमा या स्वास्थ्य सेवा संबंधी धोखाधड़ी का जोखिम समाप्त नहीं हो जाता।

आधिकारिक सूचना में दोनों संगठनों के प्रभावित लोगों की कुल संख्या को पूर्णांकित करके लगभग 2,11,000 बताया गया है। HHS OCR ने 3 जुलाई की इसी घटना को दो संबद्ध संस्थाओं की अलग-अलग प्रविष्टियों में प्रकाशित किया है: 1,09,029 और 1,01,875।

HHS की इन दो प्रविष्टियों को अलग-अलग हमलों के रूप में प्रस्तुत नहीं किया गया है, क्योंकि तारीख, बुनियादी ढाँचा, सूचना भेजने का दिन और आधिकारिक विवरण, सभी एक ही घटना का वर्णन करते हैं। सार्वजनिक सामग्री में यह नहीं बताया गया है कि क्या किसी व्यक्ति की गिनती दोनों संघीय प्रविष्टियों में हुई है। चूँकि HHS ने लोगों की संख्या अलग-अलग संस्थाओं के अंतर्गत दर्ज की है, इसलिए उनका योग उपलब्ध सटीक आँकड़ों में सबसे ठोस है। स्रोत संबंधी टिप्पणियों में इस विधि और अनिश्चितता को बरकरार रखा गया है।

UI Health Care और UI Community HomeCare ने 29 अगस्त 2025 को प्रभावित व्यक्तियों को डाक से पत्र भेजे। संगठन ने कहा कि वह निःशुल्क क्रेडिट निगरानी की सुविधा नहीं दे रहा था, क्योंकि सूचना भेजे जाने तक उसे दुरुपयोग का कोई संकेत नहीं मिला था। प्राप्तकर्ताओं को अपने पत्र में बताई गई प्रभावित जानकारी के आधार पर कदम उठाने चाहिए और नियमित रूप से खाते के विवरण, क्रेडिट रिपोर्ट तथा स्वास्थ्य बीमा के लाभों का ब्योरा देने वाले दस्तावेज़ों की समीक्षा करनी चाहिए।

यदि कोई अपरिचित चिकित्सा सेवा, बीमा दावा, नया क्रेडिट खाता या पहचान सत्यापन संदेश दिखाई दे, तो किसी ज्ञात आधिकारिक माध्यम से संबंधित संगठन से संपर्क करें। ऐसे अप्रत्याशित कॉल या लिंक से विशेष रूप से सावधान रहें जिनमें प्रभावित संस्थाओं के नाम का इस्तेमाल किया गया हो।