نشت گسترده اطلاعات پزشکی ۱۳.۳ میلیون نفر و جریمه شرکت PJ&A

13.3 million people’s medical data exposed; companies pay $300,000

شرکت Perry Johnson & Associates (PJ&A) به دلیل نقض‌های امنیتی فاحش که منجر به افشای اطلاعات حساس پزشکی بیش از ۱۳.۳ میلیون نفر شد، با دادستان‌های کل چندین ایالت آمریکا به توافق رسید. این حادثه که در سال ۲۰۲۳ کشف شد، ناشی از ضعف‌های زیرساختی در کنترل دسترسی و مدیریت امنیت بوده است.

جزئیات فنی و دلایل نشت اطلاعات

تحقیقات دادستان کل نیویورک، Letitia James، نشان می‌دهد که نشت اطلاعات به دلیل مجموعه‌ای از شکست‌های امنیتی رخ داده است. از جمله این موارد می‌توان به عدم استفاده از احراز هویت چندعاملی (MFA) برای دسترسی‌های از راه دور، استفاده از رمزهای عبور مشابه و توزیع آن‌ها از طریق ایمیل، و عدم رمزنگاری فایل‌های حاوی داده‌های حساس اشاره کرد.

علاوه بر این، سیستم‌های امنیتی شرکت اگرچه فعالیت‌های مخرب را شناسایی کرده بودند، اما هیچ هشدار عملیاتی برای تیم امنیتی ارسال نکردند. در نتیجه، شرکت تنها زمانی از وقوع حمله مطلع شد که مهاجمان در تاریخ ۲ مه ۲۰۲۳ با آن‌ها تماس گرفته و درخواست باج کردند.

ابعاد نشت و پیامدهای قانونی

اطلاعات افشا شده شامل نام، تاریخ تولد، آدرس، شماره پرونده‌های پزشکی، تشخیص‌های درمانی و جزئیات بالینی مانند نتایج آزمایش‌ها و داروها بوده است. اگرچه در ابتدا آمار ۸.۹۵ میلیون نفر اعلام شده بود، اما بررسی‌های نهایی عدد ۱۳.۳ میلیون نفر را تایید کرد که ۴.۲ میلیون نفر از آن‌ها ساکن نیویورک هستند.

طبق توافق حاصل شده در ۶ نوامبر، شرکت‌های مرتبط با PJ&A موظف به پرداخت ۳۰۰ هزار دلار جریمه نقدی شدند. در صورت عدم اجرای اصلاحات امنیتی تعیین شده، این شرکت‌ها با جریمه‌ای معادل ۹.۷ میلیون دلار مواجه خواهند شد.

الزامات امنیتی و اصلاحات اجباری

به عنوان بخشی از این توافق، شرکت‌های مذکور ملزم به پیاده‌سازی استانداردهای امنیتی سخت‌گیرانه‌ای شده‌اند. این اقدامات شامل اجباری کردن MFA، مدیریت قوی‌تر رمز عبور، رمزنگاری داده‌های سلامت، و استقرار سیستم‌های مانیتورینگ با قابلیت هشدار خودکار است.

همچنین شرکت‌ها موظف به انجام ارزیابی‌های ریسک سالانه، تست نفوذ، بخش‌بندی شبکه (Network Segmentation) و تدوین دستورالعمل‌های رسمی برای پاسخ به حوادث و نحوه امحای ایمن اطلاعات حساس شده‌اند.

نکته‌های کلیدی

• افشای اطلاعات پزشکی ۱۳.۳ میلیون نفر شامل سوابق درمانی و مشخصات هویتی.
• کشف حمله تنها پس از تماس مهاجمان برای اخاذی در ۲ مه ۲۰۲۳.
• تاخیر طولانی در اطلاع‌رسانی به قربانیان که نقض قوانین ایالتی محسوب می‌شود.
• توافق بر سر جریمه ۳۰۰ هزار دلاری با احتمال افزایش تا ۱۰ میلیون دلار در صورت عدم رعایت الزامات.

چه باید کرد

• بررسی مستقل پیام‌های دریافتی و عدم کلیک بر روی لینک‌های مشکوک مرتبط با نشت اطلاعات.
• بررسی دقیق صورت‌حساب‌های پزشکی و بیمه برای شناسایی خدمات یا داروهای دریافت نشده.
• بررسی گزارش‌های اعتباری برای شناسایی حساب‌های ناشناس یا بدهی‌های غیرواقعی.
• در صورت سرقت هویت پزشکی، درخواست کتبی برای اصلاح سوابق درمانی از مراکز درمانی مربوطه.