كويست دياغنوستيكس تؤكد اختراقاً كشف بيانات المرضى الشخصية والصحية

أكدت شركة كويست دياغنوستيكس، إحدى أكبر شركات فحوص المختبرات الطبية في الولايات المتحدة، أنها تعرّضت لاختراق سيبراني أدى إلى الوصول غير المصرَّح به إلى معلومات شخصية وصحية تخص مرضاها. وجاء الإقرار في مستند رسمي قدمته الشركة إلى هيئة الأوراق المالية والبورصة الأمريكية، أفادت فيه بأنها رصدت الحادثة يوم الأربعاء الماضي، قبل أن تبلّغ جهات تطبيق القانون وتبدأ تحقيقاً داخلياً في ملابسات الواقعة.

واستهدف الاختراق منصة "كوانوم"، وهي الخدمة التقنية التي تتيح لعيادات الأطباء والمستشفيات والمرافق الصحية طلب الفحوص المخبرية وإدارة عمليات الفوترة المرتبطة بها. وتخزّن هذه المنصة كميات كبيرة من السجلات الطبية وبيانات التشخيص والفواتير الخاصة بالمرضى، ما جعلها هدفاً مجدياً لمن نفّذوا الاختراق. وبحسب معطيات الشركة نفسها، يستخدم نظام كوانوم نحو نصف مليون طبيب وممارس صحي في آلاف المواقع عبر أمريكا الشمالية، وإن كانت كويست لم تكشف حتى الآن عن حجم البيانات الفعلي الذي تأثر بالحادثة.

وأوضح إشعار الأمان الذي نشرته الشركة أن المعلومات الصحية المحمية لبعض المرضى، بما فيها معلومات شخصية وسجلات طبية، قد طالها الاختراق، في حين لا تزال طبيعة البيانات المحددة المتأثرة قيد التحقيق. ولم تُحدد كويست عدد المرضى أو الجهات الصحية المتأثرين، ولم تُفصح عما إذا كانت أي جهة مسؤولة عن الهجوم قد تقدّمت بمطالب، كطلب فدية مالية مقابل عدم نشر البيانات المسروقة، وهو أسلوب بات معتاداً في هجمات مماثلة على قطاع الرعاية الصحية.

ورفضت المتحدثة باسم الشركة أماندا ريفيرا الإجابة عن أسئلة محددة، واكتفت بتوجيه الاستفسارات إلى إشعار الأمان المنشور على موقع الشركة، والذي يحمل، بحسب الكود البرمجي الخاص به، إشارة تمنع محركات البحث من فهرسته، وهو ما يجعل الوصول إليه أكثر صعوبة على الجمهور.

ولا تُعد هذه الحادثة الأولى من نوعها التي تتعرض لها كويست دياغنوستيكس؛ فقد سبق أن فقدت الشركة في عام 2019 بيانات نحو 11.9 مليون سجل مريض في اختراق استهدف شركة خارجية كانت تتولى عمليات الفوترة نيابة عنها، في ما يُعرف بثغرة مورّد طرف ثالث. ويعكس تكرار هذه الحوادث استمرار استهداف المهاجمين السيبرانيين ذوي الدوافع المادية لشركات التقنية الصحية، نظراً إلى حساسية البيانات التي تحتفظ بها هذه الشركات وقيمتها المرتفعة في الأسواق السرية.

ويأتي اختراق كويست في سياق موجة متصاعدة من الحوادث السيبرانية التي ضربت قطاع الرعاية الصحية والتقنية الطبية خلال العام الجاري. فقد تعرضت شركة سترايكر لهجوم في مارس أدى إلى مسح جماعي لأجهزة موظفيها، بينما أدى اختراق استهدف شركة بوسطن ساينتفيك في أغسطس إلى تعطيل شبكتها لأسابيع وتسبب في اضطراب واسع بعملياتها حول العالم. كما شهدت شركة كير كلاود اختراقاً لسجلات طبية أثّر على مئات آلاف الأشخاص، وتعرضت شركة كرينوير، التي تخدم آلاف المستشفيات والصيدليات الأمريكية، لعملية سرقة بيانات واسعة النطاق، فضلاً عن ادعاء قراصنة بسرقة ملايين السجلات الصحية من شركة مكيسون.

ويرى مراقبون أن تتالي هذه الحوادث يسلّط الضوء على الثغرات البنيوية في منظومة حماية البيانات الصحية الرقمية، خصوصاً مع تزايد الاعتماد على منصات تقنية مركزية تربط آلاف العيادات والمستشفيات بمزودي الخدمات، بما يوسّع نطاق الضرر المحتمل عند وقوع أي اختراق واحد. وتدرس الجهات التنظيمية الأمريكية سبل تشديد متطلبات الإفصاح والحماية المفروضة على شركات التقنية الصحية، في ظل استمرار استهداف هذا القطاع بوتيرة متصاعدة.

ويُلزم القانون الأمريكي الشركات المتداولة علناً، كـكويست دياغنوستيكس، بالإفصاح عن حوادث الاختراق السيبراني التي قد تحمل أثراً مادياً ملموساً على أعمالها أمام هيئة الأوراق المالية والبورصة، وهو ما يفسر اختيار الشركة الإعلان عن الحادثة عبر مستند رسمي رغم عدم اكتمال التحقيق بعد. وتخضع معلومات المرضى الصحية في الولايات المتحدة لحماية قانونية صارمة بموجب تشريعات الخصوصية الطبية الفيدرالية، التي تفرض على الجهات الصحية ومزودي خدماتها التقنية إشعار المتضررين عند تسرّب معلوماتهم الصحية المحمية، وتُحمّلها مسؤولية قانونية ومالية متزايدة في حال التقصير في حماية هذه البيانات.

وتعيد الحادثة إلى الواجهة نقاشاً متجدداً حول مدى كفاية الإجراءات الأمنية التي تتبعها منصات الفوترة والفحوص المخبرية الرقمية، التي أصبحت حلقة وصل حساسة بين المرضى ومقدمي الرعاية الصحية وشركات التأمين. ويحذّر مختصون في الأمن السيبراني من أن تركّز كميات هائلة من السجلات الطبية والمالية في منصة واحدة يجعلها هدفاً مربحاً للمهاجمين، الذين يمكنهم استغلال هذه البيانات في عمليات احتيال مالي أو ابتزاز لاحق للمرضى أنفسهم، لا الشركة فقط.

وتُعدّ هذه الحادثة مؤشراً مهماً للمستشفيات ومختبرات التحاليل الطبية في العالم العربي التي تتسارع في تبني منصات التقنية الصحية والتحول الرقمي في الفوترة والسجلات الطبية. وقد أطلقت دول كالسعودية والإمارات والكويت استراتيجيات طموحة لرقمنة منظوماتها الصحية، وهو ما يستوجب مراجعةً متوازيةً لمتطلبات الأمن السيبراني، خاصة في ظل لوائح حماية البيانات الصحية المعمول بها في هذه الدول التي تُلزم المؤسسات الصحية بمعايير أكثر صرامة في حفظ سجلات المرضى وضمان خصوصيتها.

وتواصل كويست دياغنوستيكس تحقيقها في الحادثة، ولم تُحدد جدولاً زمنياً لإشعار المرضى المتأثرين بشكل مباشر أو للإعلان عن النتائج النهائية للتحقيق. وتبقى الأسئلة الأساسية حول حجم البيانات المسروقة وهوية الجهة المنفذة للهجوم بلا إجابة حتى صدور هذا التقرير، في وقت يُنتظر أن تصدر الشركة مزيداً من التفاصيل بعد اكتمال مراجعتها الداخلية وتعاونها مع جهات التحقيق الرسمية.