أبلغت كويست ديجنوستيكس الجهات التنظيمية بأن طرفًا غير مصرح له تمكن من الوصول إلى أحد أنظمتها، وأن "سجلات مرضى معينة" قد تكون متأثرة. يتمحور هذا الإفصاح، الذي ورد في إيداع تنظيمي ونقلته SecurityWeek، حول Quanum Lab Services Manager، وهي منصة يمكن لبعض العملاء من خلالها تقديم طلبات التحاليل. لا تزال التفاصيل محدودة، لكن قصة اختراق كويست ديجنوستيكس وسجلات المرضى تقدم بالفعل دروسًا مفيدة لأي شخص أجرى تحاليل دم أو تحاليل مخبرية أخرى في الولايات المتحدة.
ما الذي أفصحت عنه كويست بشأن اختراق كوانتم
وفقًا للتقرير المصدر، أبلغت كويست ديجنوستيكس عن وصول غير مصرح به إلى Quanum Lab Services Manager في إيداع تنظيمي. تُستخدم المنصة من قبل عملاء معينين، أي مقدمي الرعاية الصحية والمنظمات المماثلة، لتقديم طلبات التحاليل المخبرية. وهي ليست تطبيقًا موجهًا للمستهلكين يسجل فيه معظم المرضى الدخول بأنفسهم.
وقالت الشركة إنها تعتقد أن سجلات مرضى معينة كانت متضمنة. كما تشير التغطية الصحفية للإيداع إلى أن النطاق الكامل لا يزال قيد التحقيق. بعض منشورات وسائل التواصل الاجتماعي المتداولة حول الحادث تقدم ادعاءات أوسع، بما في ذلك بشأن أنواع البيانات التي تم تعريضها. ولأن الإيداع نفسه موصوف بعبارات عامة فقط، ينبغي التعامل مع تلك الادعاءات بحذر حتى تنشر كويست أو الجهات التنظيمية مزيدًا من التفاصيل.
ما يمكننا قوله بثقة محدود: تم الوصول إلى منصة تقديم طلبات موجهة للعملاء دون تصريح، ويُعتقد أن بعض سجلات المرضى متأثرة، والتحقيق مستمر. وينبغي للقراء أن يتوقعوا تغير الصورة مع معرفة الشركة المزيد.
لماذا تُعد منصات طلب التحاليل نقطة ضعف في خصوصية الرعاية الصحية
يعتقد معظم الناس أن المختبر منظمة واحدة. في الواقع، يتضمن التحليل سلسلة من الأطراف: عيادة طبيبك، والمختبر، وأنظمة الفوترة، والبرمجيات التي تربط بينها. توجد بوابات مثل كوانتم حتى يتمكن العملاء الخارجيون من إرسال الطلبات واستقبال المعلومات، ما يعني أنها تحتفظ بتفاصيل المرضى بحكم التصميم ويمكن الوصول إليها من قبل many مستخدمين من مواقع كثيرة.
يخلق هذا المزيج مخاطر. كل عميل متصل هو مجموعة أخرى من بيانات الاعتماد والأجهزة والموظفين الذين قد يكونون هدفًا. والنظام المصمم للراحة عبر منظمات كثيرة هو أيضًا نقطة وصول واحدة قيّمة للمهاجم. ربما لم تسمع قط عن المنصة، ومع ذلك يمكن أن تمر سجلاتك عبرها لمجرد أن مقدم الرعاية اختار مختبرًا معينًا.
وهذا أيضًا سبب تعلم المرضى غالبًا عن الاختراق بشكل غير مباشر. فالمنظمة التي تعاملت معها مباشرة قد لا تكون هي المخترقة، لذا قد تصل الإشعارات من شركة لا تعرفها.
ماذا يعني هذا بالنسبة لك
إذا كنت قد استخدمت كويست ديجنوستيكس، مباشرة أو عبر طبيب، فالرسالة العملية هي البقاء يقظًا بدلًا من الذعر. ليس كل مريض متأثرًا، ولم تنشر الشركة قائمة كاملة بالبيانات المعرضة.
إليك ما يجب فعله الآن:
- راقب بريدك العادي والإلكتروني بحثًا عن خطاب إشعار. يُتوقع عمومًا من المنظمات التي تتعرض لاختراق يؤثر على المعلومات الشخصية أن تُخطر الأشخاص المعنيين. اقرأ أي إشعار بعناية واحتفظ بنسخة منه.
- فكّر في تجميد الائتمان. التجميد مجاني ويحد من قدرة شخص ما على فتح ائتمان جديد باسمك. وهو احتياط معقول إذا ذكر إشعار أن تفاصيل هوية كانت متضمنة.
- كن متشككًا تجاه الرسائل غير المتوقعة عن صحتك. الرسائل النصية أو المكالمات أو رسائل البريد الإلكتروني التي تذكر نتائج تحاليل أو فوترة أو "التحقق من سجلاتك" قد تكون محاولات تصيد احتيالي. تواصل مع كويست أو مقدم الرعاية باستخدام رقم هاتف أو موقع إلكتروني تجده بنفسك، وليس ذلك المرفق في الرسالة.
- راجع حساباتك وكشوفك. تحقق من نشاط البنك والتأمين وبوابة الصحة بحثًا عن أي شيء غير مألوف، وأبلغ عن المشكلات فورًا.
- عزّز تسجيلات الدخول الخاصة بك. استخدم كلمات مرور فريدة ومصادقة متعددة العوامل على بوابات المرضى والبريد الإلكتروني والحسابات المالية.
كيف تُستخدم البيانات الصحية المسروقة بعد الاختراق
المعلومات الطبية جذابة لأنها تجمع بين تفاصيل الهوية والسياق الحساس. يمكن للمجرمين استخدامها لصياغة رسائل تصيد احتيالي مقنعة تشير إلى مقدم رعاية حقيقي أو تحليل حقيقي، ما يجعل الناس أكثر عرضة للنقر أو مشاركة مزيد من المعلومات. يمكن أيضًا استخدام تفاصيل الهوية في محاولات الاحتيال.
هناك استخدام ثانٍ أصبح أكثر شيوعًا: الضغط. يمكن الاحتفاظ بالسجلات المسروقة فوق منظمة كوسيلة ضغط، مع تهديد المهاجمين بنشرها ما لم تُلبَّ المطالب. يغطي شرحنا حول كيف أصبحت السمعة السلاح في ابتزاز البيانات عبر برامج الفدية سبب تحول البيانات المسروقة إلى أداة مساومة. لا يذكر التقرير المصدر عن كويست أن الابتزاز متضمن هنا، لذا فهذا سياق وليس ادعاءً بشأن هذا الحادث.
يجدر بالذكر أيضًا أن الإرشادات بعد الاختراق يمكن أن تختلف بحسب ما تم أخذه. في حالة واحدة غير ذات صلة، نصحت شركة ضيافة الضيوف المتأثرين بـاستبدال جوازات سفرهم ورخص قيادتهم فعليًا بعد تعرض وثائق الهوية. تلك الشركة غير مرتبطة بكويست ديجنوستيكس، لكن المثال يوضح لماذا تهم أنواع البيانات المحددة المذكورة في إشعارك أكثر من العنوان الرئيسي.
النقاط الرئيسية
لا يزال الإفصاح عن اختراق كويست ديجنوستيكس وسجلات المرضى في طور التطور، ولم يُنشر بعد العدد الدقيق للأشخاص وأنواع البيانات المتأثرة. وإلى أن يُنشر ذلك، تغطي بعض العادات معظم المخاطر:
- ترقب خطاب إشعار بالاختراق، واقرأه بعناية.
- جمّد ائتمانك إذا ذكر الإشعار معلومات هوية.
- تعامل مع رسائل الصحة أو الفوترة غير المتوقعة على أنها مشبوهة، وتحقق عبر القنوات الرسمية.
- فعّل المصادقة متعددة العوامل لحساباتك الرئيسية.
لفهم سبب أهمية السجلات المسروقة لفترة طويلة بعد العناوين الأولى، اقرأ مقالنا حول ابتزاز البيانات عبر برامج الفدية، ثم خصص عشر دقائق اليوم لتأمين ائتمانك وحساباتك.
