شركة تقنية صحية تؤكد وصولاً غير مصرح به ممتداً

بدأت شركة CareCloud، التي تقدم خدمات السجلات الصحية الإلكترونية لمقدمي الرعاية الصحية، في إخطار مئات الآلاف من المرضى رسميًا بأن بياناتهم الطبية سُرقت في اختراق وقع في وقت سابق من هذا العام. وبحسب الشركة، تمكن المخترقون من الوصول إلى أحد مخازن بيانات السجلات الصحية الإلكترونية لمدة ستة أيام على الأقل، بين 10 و16 مارس، قبل اكتشاف الاختراق واحتوائه.

يأتي الإخطار بعد أشهر من الحادثة نفسها، وهي فجوة شائعة في اختراقات الرعاية الصحية لأن الشركات تحتاج عادةً وقتًا للتحقيق في نطاق الوصول غير المصرح به، والعمل مع محققي الأدلة الجنائية، وإعداد الإخطارات القانونية قبل التواصل مع الأفراد المتضررين. لكن بالنسبة للمرضى، يعني هذا التأخير أن معلوماتهم الصحية الشخصية ربما كانت متداولة أو معرضة للخطر لفترة طويلة قبل أن يتم إبلاغهم بها.

تطور غير معتاد: مخترق شارك بالأدلة

ما يميز هذه الحادثة عن العديد من اختراقات الرعاية الصحية الأخرى هو الطريقة التي تواصل بها المهاجم مع CareCloud. قالت الشركة إن مخترقًا أعلن مسؤوليته عن الاختراق، وشارك عينات من البيانات المسروقة مباشرة مع الشركة إلى جانب طلب فدية لمنع نشر المعلومات على الإنترنت. إن مشاركة عينات البيانات كوسيلة ضغط ليست معيارًا شائعًا لدى جهات برامج الفدية أو الابتزاز، التي غالبًا ما تهدد بنشر الملفات المسروقة دون تقديم دليل مسبق. تشير هذه التفاصيل إلى أن المهاجم أراد ترسيخ المصداقية بسرعة، ربما للضغط على CareCloud للدفع بدلاً من المخاطرة بمفاوضات مطولة.

وعلى الرغم من ذلك، لم تعلن أي مجموعة برامج فدية معروفة أو عصابة ابتزاز مسؤوليتها عن الاختراق. هذا الغموض ليس غير معتاد في مشهد التهديدات الحالي، حيث يقوم أفراد منفردون أو مجموعات صغيرة أو جهات تابعة تعمل خارج علامات برامج الفدية المعروفة بشن هجمات دون الإعلان عنها على مواقع التسريب التي تستخدمها عادةً عمليات الجرائم الإلكترونية الكبرى. غياب الادعاء المسمى لا يقلل بالضرورة من خطورة التعرض، بل يجعل الإسناد والمراقبة أكثر صعوبة على المحققين والمرضى المتضررين على حد سواء.

تأتي جهود الإخطار هذه بعد إفصاح سابق هذا العام أكدت فيه CareCloud وصول المخترقين إلى سجلات المرضى الطبية المرتبطة بنفس الحادثة الأمنية الأوسع. يمثل بدء إرسال الإخطارات إلى مئات الآلاف من الأفراد المرحلة التالية من عملية الإفصاح، حيث تعمل الشركة على تفاصيل تحديد بيانات من تأثرت بالضبط وفئات المعلومات التي تعرضت للاختراق.

لماذا تحمل اختراقات بيانات الرعاية الصحية مخاطر كبيرة

تحتوي السجلات الصحية الإلكترونية عادةً على مزيج من المعلومات شديدة الحساسية: الأسماء، وتواريخ الميلاد، وأرقام الضمان الاجتماعي، وتفاصيل التأمين، وتاريخ التشخيص والعلاج، وأحيانًا بيانات الفوترة أو البيانات المالية. وعلى عكس كلمة المرور المخترقة، لا يمكن إعادة تعيين هذا النوع من المعلومات. سرقة الهوية الطبية، والاحتيال التأميني، وحملات التصيد الموجهة كلها نتائج واقعية عندما ينتهي هذا النوع من البيانات في الأيدي الخطأ، وقد تظهر التأثيرات بعد أشهر أو حتى سنوات من الاختراق الأصلي.

يجلس بائعو تقنية الرعاية الصحية مثل CareCloud في موقع حساس للغاية لأنهم يعالجون ويخزنون البيانات نيابة عن عدة منظمات مقدمي خدمات، مما يعني أن اختراقًا واحدًا لدى بائع واحد يمكن أن يمتد ليصل إلى مرضى عبر العديد من العيادات وأنظمة المستشفيات المختلفة التي لم تتعامل مباشرةً مع الشركة المخترقة أبدًا. كما أفيد سابقًا، فإن حجم تعرض CareCloud قد أثر على ملايين سجلات المرضى عبر قاعدة عملائها، مما يؤكد كيف تتركز المخاطر عندما تتدفق كميات هائلة من البيانات الصحية عبر عدد صغير من مزودي التقنية.

ماذا يعني هذا بالنسبة لك

إذا تلقيت، أو ستتلقي لاحقًا، خطاب إخطار من CareCloud، فخذيه على محمل الجد حتى لو بدت اللغة روتينية. اقرئي الخطاب بعناية لتفهمي بالضبط فئات معلوماتك التي تأثرت، لأنه ليس كل فرد تم إخطاره سيكون لديه نفس البيانات المكشوفة. إذا تم تضمين أرقام الضمان الاجتماعي أو معرفات التأمين، ففكري في وضع تنبيه احتيال أو تجميد ائتماني لدى مكاتب الائتمان الرئيسية. راقبي بيانات التأمين والفواتير الطبية الخاصة بك عن كثب بحثًا عن خدمات لا تعرفينها، لأن سرقة الهوية الطبية قد تكون أصعب في الاكتشاف من الاحتيال المالي العادي. كوني حذرة من أي رسائل بريد إلكتروني أو مكالمات أو رسائل نصية تزعم أنها من CareCloud أو مقدم الرعاية الصحية الخاص بك تطلب منك التحقق من التفاصيل الشخصية، حيث يستغل المحتالون إخطارات الاختراق بشكل متكرر لشن حملات تصيد.

أهم النقاط

إن عملية الإخطار من CareCloud هي تذكير بأن اختراقات بيانات الرعاية الصحية غالبًا ما تتكشف على مراحل، حيث يفصل بين الاختراق الأولي والتحقيق والإخطار النهائي شهور. يجب على المرضى المتأثرين بهذه الحادثة مراجعة أي خطابات إخطار عن كثب، والاشتراك في خدمة مراقبة الائتمان المعروضة إن وجدت، والبقاء متيقظين لأي اتصالات مشبوهة تشير إلى تاريخهم الطبي أو معلومات التأمين الخاصة بهم. مع استمرار مؤسسات الرعاية الصحية في الاعتماد على بائعي التقنية الخارجيين لإدارة السجلات الحساسة، تسلط حوادث كهذه الضوء على سبب بقاء اليقظة من الشركات والمرضى على حد سواء ضرورية لفترة طويلة بعد اكتشاف الاختراق لأول مرة.