פריצה ל-Unlimited Technology Systems חושפת מידע רפואי של 3.8 מיליון בארה"ב

חברת Unlimited Technology Systems, המספקת תוכנת ניהול הכנסות למרפאות ולספקי שירותי בריאות בארה"ב, מדווחת כי פריצה למרכז הנתונים שלה חשפה מידע אישי ורפואי של כ-3.8 מיליון בני אדם. זו פריצת המידע הגדולה ביותר בתחום הבריאות שדווחה עד כה השנה, אך מה שבולט לא פחות מהיקף האירוע הוא פער הזמן העצום בין הגילוי לדיווח — כמעט תשעה חודשים.

הפרטים

לפי הודעת החברה, גורם לא מורשה חדר למרכז הנתונים המסחרי שלה וגישה לקבצים בין ה-5 ל-10 באוקטובר 2025; החברה זיהתה את הפעילות החריגה כבר ב-19 באוקטובר 2025. עם זאת, הדיווח הרשמי למשרד הבריאות האמריקאי (HHS) הוגש רק בסוף יולי 2026, ופורסם באתר ה-breach portal הרשמי שלו ב-6 באוגוסט 2026 — פער שחורג משמעותית מדרישת ה-60 יום לדיווח שקבועה ב-HIPAA.

המידע שנחשף כולל שמות, כתובות, מספרי טלפון, מספרי ביטוח לאומי (SSN), תאריכי לידה, מספרי רשומה רפואית, אבחנות, מידע על תביעות וזכאויות ביטוחיות, וסריקות של מסמכים כמו רישיונות נהיגה. לדברי החברה לא נחשפו רשומות רפואיות מלאות, הדמיה רפואית או פרטי אמצעי תשלום. אף קבוצת כופרה או סחיטת מידע לא נטלה אחריות פומבית על הפריצה, והחברה מציעה לנפגעים שירותי ניטור זהות ואשראי חינם למשך שנתיים.

נקודות לשים לב

• אם קיבלת הודעה מ-Unlimited Technology Systems או מספק שירותי בריאות שעובד איתה — הפעל את שירות ניטור הזהות שהוצע ועקוב אחר חשבונות בנק ודוחות אשראי בחודשים הקרובים.
• שילוב של מספרי ביטוח לאומי ומידע רפואי הוא קרקע פורייה לפישינג ממוקד ולהונאות ביטוח בריאות — היזהר מפניות שמתיימרות להגיע מספק הביטוח או מהמרפאה.
• הפער של כמעט תשעה חודשים בין גילוי הפריצה לדיווח עליה ממחיש כשל בשרשרת האספקה של נתוני בריאות: גם ארגון שלא נפרץ בעצמו חשוף דרך ספקים כמו חברות ניהול הכנסות ורישום.
• אם הארגון שלך עובד עם ספקי תוכנה לניהול הכנסות רפואיות — ודא בהסכם השירות דרישת דיווח פריצה מהירה משמעותית מה-60 יום המחייבים לפי HIPAA, וכלול סעיפי ביקורת ודיווח.
• נכון לעכשיו אין עדות לניצול בפועל של המידע שנגנב, אך היעדר תביעת אחריות מקבוצת תקיפה מוכרת לא מבטיח שהמידע לא נמכר או ישמש בעתיד.

מקורות: BleepingComputer · SecurityWeek