یک سال نفوذ پنهان در TriZetto اطلاعات پزشکی هزاران نفر را لو داد

احتمال این وجود دارد که اطلاعات سلامت‌ هزاران نفر از ساکنان ایالت اورِگان در جریان نفوذ سایبری به شرکت TriZetto به سرقت رفته باشد؛ رخدادی که تبعات آن ادامه‌دار شده و حالا شرکت مادر، یعنی Cognizant، را با چندین شکایت حقوقی روبه‌رو کرده است.

به گزارش افتانا، این حمله سایبری به نوامبر ۲۰۲۴ برمی‌گردد؛ زمانی که مهاجمان موفق شدند به سامانه‌های ارائه‌دهنده خدمات تأیید بیمه دسترسی پیدا کنند و اطلاعات حساس پزشکی و شخصی صدها هزار بیمار و دارندگان بیمه در چندین ایالت آمریکا را مشاهده و استخراج کنند. نکته نگران‌کننده اینجاست که TriZetto Provider Solutions تا حدود یک سال بعد متوجه حضور نفوذگران در شبکه خود نشد.

طبق اطلاعیه‌ای که از سوی اداره خدمات سلامت شهرستان دِشوتس، مرکز درمانی Best Care و مرکز سلامت اجتماعی La Pine منتشر شد، این شرکت اعلام کرده که تهدید در دوم اکتبر ۲۰۲۵ مهار شد، اما در این مدت اطلاعات پزشکی محافظت‌شده بیش از ۷۰۰ هزار نفر ممکن است در معرض افشا قرار گرفته باشد. این سه مرکز درمانی که به بیماران مناطق مرکزی اورگان خدمات می‌دهند، به‌همراه مراکز درمانی در ایالت‌هایی مانند ماساچوست، اوکلاهاما و ده‌ها کلینیک در کالیفرنیا، اوایل دسامبر ۲۰۲۵ از این رخنه مطلع شده‌اند.

بر اساس اعلام مقامات محلی، حدود ۱۳۰۰ بیمار در شهرستان دِشوتس تحت تأثیر این نشت اطلاعات قرار گرفته‌اند. مرکز La Pine قصد دارد حدود ۱۲۰۰ نفر را مطلع کند و Best Care نیز به حدود ۱۶۵۰ بیمار اطلاع‌رسانی خواهد کرد که اطلاعات سلامت‌شان در معرض دسترسی غیرمجاز بوده است. این مراکز تأکید کرده‌اند که تاکنون شواهدی مبنی بر سوءاستفاده از اطلاعات، مانند کلاهبرداری پزشکی یا سرقت هویت، مشاهده نشده و همچنین هیچ‌گونه اطلاعات مالی در این حمله به سرقت نرفته است.

شرکت Cognizant، مالک TriZetto، به‌دلیل این حادثه با چندین شکایت دسته‌جمعی مواجه شده است. این شرکت در بیانیه‌ای اعلام کرد که در دوم اکتبر متوجه فعالیت مشکوک در یکی از پرتال‌های مورد استفاده مشتریان حوزه سلامت شده و بلافاصله تحقیقات را آغاز کرده و اقدامات لازم برای مهار حادثه را انجام داده و تهدید را به‌طور کامل از محیط عملیاتی حذف کرده است. به گفته Cognizant، کارشناسان امنیتی خارجی از جمله شرکت Mandiant برای بررسی موضوع وارد عمل شده‌اند، موضوع به مراجع قانونی گزارش شده و به مشتریان و بیماران آسیب‌دیده اطلاعات و پشتیبانی لازم ارائه شده است. این شرکت همچنین تأکید کرده که این حادثه مرتبط با باج‌افزار نبوده است.

این نخستین‌باری نیست که Cognizant به‌دلیل ضعف‌های امنیتی خود راهی دادگاه می‌شود. در ماه جولای، شرکت Clorox شکایتی ۳۸۰ میلیون دلاری علیه Cognizant در دادگاه ایالتی کالیفرنیا ثبت کرد. این شکایت به حمله سایبری سال ۲۰۲۳ مربوط می‌شود که در آن، به‌ادعای Clorox، تیم پشتیبانی فناوری اطلاعات Cognizant با تحویل دادن رمزهای عبور کارکنان به مهاجمان ـ صرفاً پس از یک درخواست ساده ـ عملاً راه نفوذ به شبکه این شرکت را هموار کرده بود.