2025 में VITAS Hospice Services के डेटा में सेंध

प्राथमिक स्रोत VITAS Hospice Services की ओर से प्रभावित लोगों को भेजी गई चौदह पन्नों की डेटा सेंध की सूचना है। इसमें घटना का पता लगने की तारीख, विक्रेता के खाते की सुरक्षा भंग होने, पहुँच की अवधि, डेटा डाउनलोड किए जाने, जाँच, सुरक्षा में सुधार और चौबीस महीने की सुरक्षा सेवाओं के बारे में सीधे तौर पर बताया गया है।

दूसरा स्रोत HHS OCR का डेटा उल्लंघन पोर्टल है, जो संघीय रिकॉर्ड में दर्ज कुल 3,19,177 प्रभावित लोगों और घटना के वर्गीकरण की पुष्टि करता है। तीसरा स्रोत SecurityWeek की 9 दिसंबर 2025 की रिपोर्ट है, जो VITAS की सूचना और संघीय रिकॉर्ड के आधार पर घटना के दायरे, पहुँच बनाने के तरीके और मरीजों का डेटा डाउनलोड किए जाने का स्वतंत्र विवरण देती है। HIPAA Journal भी इसी समयरेखा और डेटा की श्रेणियों की पुष्टि करता है।

अनधिकृत पक्ष ने VITAS के एक विक्रेता के खाते की सुरक्षा भंग की और उसका इस्तेमाल करके VITAS के कुछ सिस्टम में प्रवेश किया। संगठन को घटना का पता 24 अक्टूबर को लगा, जबकि फॉरेंसिक जाँच में लगभग 21 सितंबर से 27 अक्टूबर तक अनधिकृत पहुँच की पहचान हुई। इस दौरान कुछ मौजूदा और पूर्व मरीजों की जानकारी देखी और डाउनलोड की गई।

घटना का पता चलने के बाद VITAS ने अपने सिस्टम सुरक्षित करने के कदम उठाए, आंतरिक जाँच शुरू की और बाहरी विशेषज्ञों की मदद ली। घटना का पता लगने के तीन दिन बाद पहुँच समाप्त होने की अनुमानित तारीख, पूरी हो चुकी फॉरेंसिक जाँच की समयरेखा पर आधारित है। घटना की तारीख उस सबसे शुरुआती तकनीकी गतिविधि पर आधारित है जिसकी सार्वजनिक स्रोतों से पुष्टि की जा सकती है।

प्रभावित जानकारी के प्रकार हर व्यक्ति के लिए अलग थे। इनमें नाम, पते, फ़ोन नंबर, जन्मतिथियाँ, सामाजिक सुरक्षा नंबर, ड्राइविंग लाइसेंस नंबर, निकटतम परिजनों के संपर्क विवरण, रोग-निदान, दवाएँ, प्रयोगशाला जाँच के नतीजे, स्वास्थ्य स्थितियाँ, उपचार की जानकारी, स्वास्थ्य बीमा की जानकारी और अन्य निजी जानकारी शामिल हो सकती है। इन जानकारियों का संयोजन पहचान और चिकित्सा संबंधी धोखाधड़ी के लिहाज़ से अत्यंत संवेदनशील है।

VITAS ने यह नहीं कहा कि सभी 3,19,177 लोगों के लिए हर प्रकार की जानकारी मौजूद थी। कंपनी का पत्र डेटा डाउनलोड किए जाने की पुष्टि करता है, लेकिन स्रोतों से यह स्थापित नहीं होता कि डेटा सार्वजनिक किया गया, बेचा गया या किसी नामित रैंसमवेयर समूह को सौंपा गया।

आधिकारिक स्रोत की ओर से प्रकाशित प्रभावित व्यक्तियों या रिकॉर्ड की संख्या घटना का रिपोर्ट किया गया दायरा बताती है। इसका मतलब यह नहीं है कि उजागर की गई हर डेटा श्रेणी हर व्यक्ति पर लागू थी। SecurityWeek और स्वास्थ्य सेवा की सुरक्षा से जुड़े अन्य प्रकाशन भी संघीय रिकॉर्ड में दर्ज यही कुल संख्या बताते हैं। यह संख्या उन लोगों की है जो सूचना पाने वाले समूह में शामिल हैं, न कि फ़ाइलों, हॉस्पिस में हुई मुलाकातों, दवा के पर्चों, प्रयोगशाला जाँच के नतीजों या अलग-अलग डेटा मदों की।

VITAS Hospice Services, VITAS Healthcare के देशव्यापी हॉस्पिस और प्रशामक देखभाल नेटवर्क के अंतर्गत काम करता है। घटना में मौजूदा और पूर्व मरीजों की जानकारी शामिल थी, लेकिन इन दोनों समूहों की अलग-अलग संख्या और प्रत्येक प्रकार की जानकारी से प्रभावित लोगों की संख्या नहीं बताई गई। इसलिए इस प्रविष्टि में कुल संख्या को अलग-अलग समूहों में नहीं बाँटा गया है।

VITAS ने बताया कि उसने अपने सिस्टम सुरक्षित किए, आंतरिक जाँच शुरू की, एक अग्रणी साइबर सुरक्षा कंपनी के साथ काम किया और कानून प्रवर्तन एजेंसियों को सूचित किया। संगठन ने ऐसी घटना दोबारा होने का जोखिम कम करने के लिए विक्रेताओं की निगरानी और डेटा सुरक्षा प्रोटोकॉल की समीक्षा भी की और उन्हें मज़बूत बनाया।

पत्र जारी किए जाने के समय VITAS को निजी जानकारी के दुरुपयोग की कोई जानकारी नहीं थी। फिर भी, प्रभावित लोगों को Epiq के माध्यम से चौबीस महीने की निःशुल्क क्रेडिट निगरानी, पहचान सुरक्षा और चिकित्सा निगरानी सेवाएँ दी गईं। इस पैकेज में पहचान बहाल करने की सेवा, क्रेडिट फ़्रीज़ कराने में सहायता और चिकित्सा संबंधी पहचान की जानकारी उजागर होने के कुछ संकेतों पर अलर्ट शामिल हैं।

सूचना पाने वाले लोगों को पत्र में दी गई नामांकन अवधि के भीतर Epiq की सेवा सक्रिय करनी चाहिए। उन्हें क्रेडिट रिपोर्ट, पते में हुए बदलाव, स्वास्थ्य बीमा के लाभों का विवरण देने वाले दस्तावेज़ और चिकित्सा सेवाओं के इतिहास की नियमित समीक्षा करनी चाहिए, ताकि अनजान खातों या गतिविधियों का पता चल सके। किसी संदिग्ध प्रविष्टि की सूचना संबंधित संगठन के आधिकारिक माध्यम से देनी चाहिए।

VITAS के पत्र में स्पष्ट रूप से कहा गया है कि संगठन इस घटना के बारे में इलेक्ट्रॉनिक माध्यम से संदेश नहीं भेजेगा। पत्र पाने वालों से यह भी कहा गया है कि वे इलेक्ट्रॉनिक माध्यम से निजी जानकारी साझा न करें। VITAS, Epiq, किसी बीमा कंपनी या सेवा प्रदाता की ओर से आने का दावा करने वाले अप्रत्याशित लिंक नहीं खोलने चाहिए; संपर्क की शुरुआत किसी सत्यापित नंबर से करनी चाहिए। यदि कोई संदिग्ध संदेश या खाते में संदिग्ध गतिविधि दिखे, तो संदेश में दिए गए लिंक का इस्तेमाल किए बिना संगठन के मौजूदा आधिकारिक संपर्क माध्यम से उसकी पुष्टि करनी चाहिए।