اختراقات بيانات الرعاية الصحية طالت عشرات الملايين من الأمريكيين في 2026

مقدمة

طالت اختراقات البيانات المرتبطة بالرعاية الصحية عشرات الملايين من الأشخاص في الولايات المتحدة خلال عام 2026، في استمرار لنمط متعدد السنوات يظل فيه هذا القطاع من بين الأكثر استهدافاً ببرامج الفدية وسرقة البيانات واسعة النطاق. والحوادث الفردية هذا العام كبيرة بما يكفي لتكون بارزة بذاتها: فاختراق واحد لدى مزوّد دورة الإيرادات Unlimited Technology Systems كشف بطاقات هوية حكومية ممسوحة ضوئياً وبطاقات تأمين وأرقام ضمان اجتماعي لـ3,803,750 شخصاً، ما يجعله ثاني أكبر اختراق لبيانات الرعاية الصحية في الولايات المتحدة المُبلَّغ عنه في 2026. وأثّر اختراق لدى Baylor Genetics على 2,810,878 شخصاً، بينهم مواليد في حالات حرجة ومريضات فحص ما قبل الولادة، كاشفاً نتائج فحوصات جينية وبيانات مخبرية لا يمكن — خلافاً لكلمة مرور أو رقم بطاقة ائتمان — إعادة إصدارها. وأبلغ نظام NYC Health + Hospitals، أكبر نظام صحي عام في البلاد، عن تأثر أكثر من 1.8 مليون شخص، مع ادعاء ابتزاز غير مؤكَّد يرفع الرقم إلى 12 مليوناً، في اختراق كشف بصمات أصابع وأكف بيومترية إلى جانب سجلات طبية قياسية.

لماذا يستمر استهداف الرعاية الصحية عبر المزوّدين لا الهجمات المباشرة

يتكرر نمط عبر أكبر اختراقات بيانات الرعاية الصحية هذا العام: مكان وقوع الاختراق فعلياً. فقد وقعت أربعة من أكبر اختراقات أغسطس 2026 على بنية تحتية لم تكن المنظمة الصحية المخترَقة تُشغّلها بنفسها. ويُعد اختراق Unlimited Technology Systems المثال الأوضح — إذ اخترُق مزوّد دورة إيرادات تابع لطرف ثالث، لا شبكة المستشفى نفسها، بينما كانت البيانات المكشوفة تخص مرضى المستشفى. وهذه هي نقطة الضعف البنيوية في أمن الرعاية الصحية: يمكن لمستشفى أو نظام صحي أن يستثمر بكثافة في دفاعات شبكته الخاصة ويبقى مع ذلك مكشوفاً عبر مزوّد فوترة، أو جهة معالجة نتائج مخبرية، أو مزوّد تخزين سحابي، أو أياً من عشرات الأطراف الثالثة التي تتعامل مع بيانات المرضى في سلسلة توريد بيانات الرعاية الصحية الحديثة.

وتتبع حوادث أخرى في 2026 النمط نفسه. فقد سُرقت بيانات مرضى وبيانات خاصة من iRhythm، شركة الأجهزة الطبية، في يونيو 2026، رغم أن أنظمتها السريرية ظلت على ما يبدو غير متأثرة. وشهدت One Medical Seniors الوصول إلى ملفات مرضى مؤرشفة من سجلاتها القديمة لـIora Health وOne Medical Seniors، مع ادعاء مجموعة ShinyHunters الحصول على 8.8 تيرابايت من البيانات. وتأثرت وحدة Cancer Diagnostics التابعة لشركة Abbott Laboratories في يوليو 2026، مع ادعاء ShinyHunters الوصول إلى أكثر من مليون رقم ضمان اجتماعي و22 مليون ملاحظة طبيب-مريض، بينما ظلت أنظمة سلامة المرضى على ما يبدو غير متأثرة في تلك الحالة أيضاً.

لماذا تجعل ديمومة البيانات اختراقات الرعاية الصحية مختلفة

ما يميّز اختراق بيانات الرعاية الصحية عن اختراق بيانات نموذجي في التجزئة أو التمويل هو ديمومة ما يُكشَف. يمكن إلغاء رقم بطاقة ائتمان مسروق. ويمكن تغيير كلمة مرور مسروقة. أما نتائج الفحوصات الجينية وبصمات الأصابع والأكف البيومترية والملاحظات السريرية المفصلة فلا يمكن إعادة إصدارها — فبمجرد كشفها، تحمل خطر احتيال وانتهاك خصوصية مدى الحياة للمريض، دون ما يعادل تجميد بنك لحساب مخترَق. ويُعد اختراق Baylor Genetics أوضح مثال على ذلك: فكشف البيانات الجينية لمواليد في حالات حرجة ومريضات فحص ما قبل الولادة يعني كشف معرّفات ستبقى حساسة طوال حياة ذلك الشخص، وربما ذات صلة بمعلومات صحة أطفاله أيضاً.

لماذا لم يحلّ HIPAA هذه المشكلة

يضع HIPAA، قانون خصوصية وأمن الرعاية الصحية الأمريكي، متطلبات حول كيفية حماية الكيانات المشمولة وشركائها التجاريين لبيانات المرضى — لكنه لم يُصمَّم لإزالة نمط الفشل المحدد الذي يقود أكبر اختراقات 2026: الاختراق لدى مزوّد تابع لطرف ثالث يعتمد عليه المستشفى لكنه لا يتحكم فيه مباشرة. ويتطلب إطار اتفاقيات الشريك التجاري (Business Associate Agreement) ضمن HIPAA من المزوّدين الالتزام تعاقدياً بحماية بيانات المرضى، لكن الالتزام التعاقدي وحده لا يُعزّز الوضع الأمني الفعلي للمزوّد. والنتيجة إطار تنظيمي يُحدد التزامات الامتثال بوضوح لكنه لم يواكب مدى اتساع البصمة الفعلية لبيانات منظمة رعاية صحية حديثة — الموزّعة بين مزوّدي دورة الإيرادات، وجهات معالجة المختبرات، وصانعي الأجهزة الطبية، والمنصات السحابية، حيث يمثل كل منها نقطة فشل محتملة خارج السيطرة الأمنية المباشرة للمستشفى.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• 2026 Data Breaches — PKWARE
• Recent Data Breaches — BrightDefense