اختراق ضخم يهدد خصوصية المرضى في شبكة الإنترنت

 كشفت تقارير حديثة عن تسرب واسع النطاق لملفات تعريف نفسية وجلسات علاج لآلاف المرضى، بما في ذلك ملفات صوتية ومرئية ورخص قيادة، إلى شبكة الإنترنت المفتوحة. التسلل الذي طال شركة الرعاية الصحية الناشئة Confidant Health، أدى إلى كشف أكثر من 1.7 مليون سجل نشاط، تحتوي على حوالي 5.3 تيرابايت من بيانات الصحة العقلية.

وفقًا لما ذكرته صحيفة “ديلي ميل” البريطانية، تركت الشركة، التي تتخذ من أوستن مقرًا لها وتدّعي أنها تبني “الجيل القادم من الرعاية الافتراضية” لعلاج الإدمان والعلاجات السلوكية الأخرى، معلومات سرية لمستخدميها مكشوفة عبر “قاعدة بيانات غير محمية بكلمة مرور”. 

يأتي هذا الخلل الأمني الفادح في وقت تشهد فيه الصناعة موجة من التسريبات الكبيرة، بما في ذلك تسرب “RockYou2024” الذي كشف عن 10 مليارات كلمة مرور، بالإضافة إلى خرق هائل لأرقام الضمان الاجتماعي الأمريكية.

منذ تأسيسها في عام 2018، حصل تطبيق Confidant Health، المتاح على نظامي iOS وAndroid، على أكثر من 10000 تحميل من متجر Google Play. وتوفر الشركة حاليًا خدمات سريرية في كونيتيكت ونيوهامبشاير وفيرجينيا وتكساس وفلوريدا.

وفي تعليق على هذا الاختراق، قال جيريميا فاولر، الباحث في مجال الأمن السيبراني الذي اكتشف المشكلة، إن الملفات الصوتية والفيديو تتضمن “بعض الصدمات العائلية المؤلمة والصدمات الشخصية”، مؤكدًا أنها “تشبه الكشف عن أعمق أسرارك المظلمة”. وأضاف فاولر أنه لأسباب أخلاقية لم يقم بتنزيل أي معلومات طبية خاصة أو محاولة الوصول إلى قواعد بيانات محمية بكلمة مرور، لكنه أشار إلى أن المتسللين قد يستغلون هذه الثغرات بسرعة.

وأوضح الباحث أن “مجرمي الإنترنت يمتلكون أدوات متنوعة، بما في ذلك هجمات القوة الغاشمة ومحاولات الهندسة الاجتماعية، التي قد تسهل الوصول غير المصرح به إلى الملفات والمستندات المحمية”.

فقد لاحظ فاولر أن المستندات التي كانت مرئية للعامة شملت بوضوح ملاحظات تناول العلاج النفسي، تقييمات تتعلق بالصحة العقلية للمرضى، إدمان المخدرات، القضايا الأسرية، والتاريخ النفسي، بجانب العديد من الملفات الأخرى مثل رخص القيادة وبطاقات الهوية الصادرة عن الدولة وبطاقات التأمين.

تتطلب قوانين HIPAA في الولايات المتحدة، من المهنيين الطبيين والشركات والمنظمات اتخاذ إجراءات مشددة لحماية خصوصية معلومات الصحة المحمية لعملائهم، ما يجعل هذا الاختراق انتهاكًا صارخًا لمتطلبات الأمان والخصوصية.