أصبح حادث Change Healthcare الآن نقطة مرجعية لفئة جديدة من مخاطر الرعاية الصحية: ليس مجرد "اختراق للبيانات"، وليس مجرد "حدث طلب فدية"، بل هو انقطاع منهجي عطّل سير العمل الإداري والمالي الذي يحافظ على استمرار الرعاية الصحية.
في أوائل عام 2024، عانت شركة Change Healthcare (إحدى الشركات التابعة لمجموعة UnitedHealth Group) من هجوم فيروس الفدية الذي أدى إلى توقف المطالبات ومعاملات الرعاية الصحية الأخرى على المستوى الوطني. وثّقت جمعية المستشفيات الأمريكية (AHA) تأثيرًا واسع النطاق على المستشفيات، بما في ذلك التأثير المباشر على رعاية المرضى والاضطراب المالي الكبير. (جمعية المستشفيات الأمريكية)
ما أبقى القصة على قيد الحياة حتى عام 2025 لم يكن فقط التعطيل التشغيلي. بل كان نطاق الاختراق. ذكر مكتب الحقوق المدنية التابع لوزارة الصحة والخدمات الإنسانية (OCR) أن شركة Change Healthcare أبلغت مكتب الحقوق المدنية في 31 يوليو 2025 أن ما يقرب من 192.7 مليون شخص تأثروا. ذكرت رويترز لاحقًا نفس الرقم الذي أوردته رويترز في وقت لاحق، وهو نفس الرقم الإجمالي المحدّث الذي أظهرته بيانات وزارة الصحة والخدمات الإنسانية. (الصحة والسلامة المهنية)
يركز هذا المقال على الحقائق المؤكدة والدروس الدفاعية العملية - كيف تحول فشل بائع واحد إلى اضطراب على مستوى البلاد، وما هي الإشارات الأمنية الأكثر أهمية، وكيف يمكن لمؤسسات الرعاية الصحية تقليل دائرة الانفجار في الحادث التالي.
ما حدث بلغة إنجليزية واضحة
في فبراير 2024، تعرضت شركة Change Healthcare في فبراير 2024 لاختراق برمجيات الفدية الخبيثة التي أجبرتها على إيقاف تشغيل أنظمتها، مما أدى إلى تعطيل معالجة المطالبات ومعاملات الرعاية الصحية ذات الصلة في جميع أنحاء الولايات المتحدة. وصفت نتائج استبيان جمعية الرعاية الصحية الأمريكية الذي صدر في مارس 2024 الآثار المالية واسعة النطاق ورعاية المرضى في جميع المستشفيات التي استجابت لهذا التعطيل. (جمعية المستشفيات الأمريكية)
توسع الحادث لاحقًا ليصبح واحدًا من أكبر حالات التعرض لبيانات الرعاية الصحية المسجلة. تنص الأسئلة المتداولة حول حادثة شركة Change Healthcare التابعة لـ OCR على أن شركة Change Healthcare أبلغت OCR في 31 يوليو 2025 أن ما يقرب من 192.7 مليون فرد قد تأثروا. (الصحة والسلامة المهنية)
جدول زمني يمكنك استخدامه في مجموعة اللوحة
فبراير 2024 - فبراير 2024 - الإفصاح والاضطراب التشغيلي
تصف التقارير العامة هجوم برمجيات الفدية الخبيثة الذي أوقف سير عمل المعاملات الرئيسية وتسبب في تعطيل كبير لمقدمي الخدمات والمرضى. يشير تقرير وكالة رويترز إلى إسناد الهجوم إلى مجموعة برمجيات الفدية الخبيثة ALPHV/BlackCat ويصف التأثير التشغيلي على معالجة المطالبات. (رويترز)
من 9 إلى 12 مارس 2024 - قياس أثر المستشفى
أجرت جمعية القلب الأمريكية دراسة استقصائية على المستشفيات الأمريكية ونشرت نتائجها التي تشير إلى خسائر تشغيلية ومالية واسعة النطاق. ذكرت جمعية القلب الأمريكية أن 94% من المستشفيات عانى من تأثير مالي وأن التعطيل أدى إلى حلول مكلفة وكثيفة العمالة. (جمعية المستشفيات الأمريكية)
مايو-يونيو 2024 - ظهور تفاصيل الهوية والوصول عن بُعد
تنص الشهادة المعدة مسبقًا لجلسة استماع لجنة الشؤون المالية بمجلس الشيوخ على أنه في 12 فبراير 2024، استخدم المجرمون بيانات اعتماد مخترقة للوصول إلى بوابة سيتريكس للرعاية الصحية التابعة لشركة Change Healthcare المستخدمة للوصول عن بُعد. (اللجنة المالية بمجلس الشيوخ)
بشكل منفصل، يؤكد منشور مجلس النواب الأمريكي للطاقة والتجارة الذي يلخص الشهادة على أن أحد الأنظمة المهمة لم يتم تفعيل المصادقة متعددة العوامل فيه. (لجنة الطاقة والتجارة بمجلس النواب)
24 يناير 2025 - تم الإبلاغ عن 190 مليون متضرر (رويترز)
ذكرت وكالة رويترز أن شركة UnitedHealth أكدت أن الاختراق أثر على المعلومات الشخصية لحوالي 190 مليون دولار الأفراد، على أن يتم تأكيد الرقم النهائي وإيداعه رسميًا لدى وزارة الصحة والخدمات الإنسانية. (رويترز)
31 يوليو 2025 - تم إخطار 192.7 مليون دولار إلى مكتب الالتزام بالسلامة والصحة المهنية (HHS)
تنص الأسئلة الشائعة الرسمية ل OCR على أن شركة Change Healthcare أبلغت OCR أن ما يقرب من 192.7 مليون دولار تأثر الأفراد. (الصحة والسلامة المهنية)
أغسطس 2025 - تم الإبلاغ عن إجمالي محدث من خلال بيانات وزارة الصحة والخدمات الإنسانية (رويترز)
ذكرت رويترز الرقم المحدّث الذي أوردته وكالة رويترز حوالي 192.7 مليون دولار الأفراد المتأثرين، مستشهدًا ببيانات مكتب السجل المدني للخدمات الصحية والصحة المهنية. (رويترز)
لماذا كانت هذه الحادثة مزعجة للغاية: "التبعية المحورية" هي الآن خطر على رعاية المرضى
إن العديد من حوادث برامج الفدية الخبيثة تكون محلية: مستشفى واحد يتعطل، وعيادة واحدة تتعطل، ووحدة عمل واحدة تتعرض للتشفير. كانت Change Healthcare مختلفة لأنها تقع في منتصف تدفقات العمل الإداري التي يعتمد عليها الآلاف من مقدمي الرعاية الصحية. عندما يفشل وسيط يشبه غرفة المقاصة المركزية، فإن المستشفيات والصيدليات لا تفقد أداة فقط - بل تفقد الإنتاجية.
إن تقارير جمعية القلب الأمريكية صريحة بشكل غير عادي بشأن العواقب الواقعية. في نتائج استبيانها وتعليقات المتابعة الخاصة بها، تصف جمعية القلب الأمريكية الحادث بأنه تسبب في اضطراب كبير في رعاية المرضى والشؤون المالية للمستشفيات، وتوثق مدى صعوبة تبديل غرف المقاصة أو تكرار خطوط أنابيب المعاملات بسرعة. (جمعية المستشفيات الأمريكية)
الوجبات الجاهزة الأمنية هيكلية: مخاطر الطرف الثالث ليست مشكلة استبيان. إنها استمرارية الأعمال وسلامة المرضى. تحتاج خطط الطوارئ الخاصة بك إلى التعامل مع البائعين المهمين مثل المرافق: افترض أنهم يمكن أن يتعطلوا لأسابيع وليس لساعات.
ما تعطل في الممارسة العملية: التدفق النقدي والتفويضات والاحتكاك التشغيلي
تُعد نتائج استطلاع مارس 2024 الذي أجرته جمعية القلب الأمريكية نقطة بيانات رئيسية لأنها تحدد الضرر الناجم عن المصب:
- 94% من المستشفيات المستجيبة أبلغت عن الأثر المالي. (جمعية المستشفيات الأمريكية)
- 74% تم الإبلاغ عن التأثير المباشر على رعاية المرضى. (جمعية المستشفيات الأمريكية)
- وصفت المستشفيات الحلول البديلة على النحو التالي كثيفة العمالة ومكلفة، وأبلغ العديد منهم عن صعوبة في تبديل غرف المقاصة. (جمعية المستشفيات الأمريكية)
هذه التفاصيل مهمة لأنها تفسر لماذا "التعافي الفني" ليس نهاية الحدث. فحتى بعد عودة بعض الخدمات، يستمر التراكم والمعالجة اليدوية والضغط المالي.
إذا كنت قائداً في مجال أمن الرعاية الصحية وتحاول تبرير الاستثمار، فهذه هي الحجة: يمكن أن يؤدي انقطاع الخدمة عن الموردين إلى تأخر الرعاية الصحية وإرهاق الموظفين وتعطل الإيرادات اليومية بملايين الدولارات.
مقياس الاختراق: سبب زيادة العدد بمرور الوقت
غالبًا ما تُظهر حوادث الرعاية الصحية الكبيرة أعدادًا متزايدة من "الأفراد المتأثرين" لأشهر لأن الأمر يستغرق وقتًا لتحديد مجموعات البيانات المتضمنة، والملفات التي تحتوي على معلومات خاضعة للتنظيم، وكيفية إلغاء تكرار الأفراد عبر أنظمة متعددة.
هناك الآن مرساة عامة موثوقة تحدد المقياس الآن:
- ينص مكتب مفوضية حماية حقوق الإنسان التابعة لوزارة الصحة والخدمات الإنسانية على أن شركة Change Healthcare قد أخطرت مكتب المفوضية في 31 يوليو 2025 بما يلي ما يقرب من 192.7 مليون شخص تأثرت. (الصحة والسلامة المهنية)
- ذكرت وكالة رويترز في وقت سابق تقديرات مؤكدة لـ 190 مليون دولار (يناير 2025) وأبلغت لاحقًا عن تحديث 192.7 مليون دولار الرقم من خلال بيانات وزارة الصحة والسكان (رويترز)
بالنسبة للتخطيط للاستجابة للحوادث، فإن الدرس المستفاد بسيط: الحادث التشغيلي هو المرحلة الأولى؛ ويمكن أن تكون مرحلة الإخطار بالاختراق والمرحلة التنظيمية هي المرحلة الثانية التي تستمر لمدة عام أو أكثر.
ما هي البيانات التي قد تكون متضمنة (عرض قائم على المخاطر)
وصفت رويترز في تقريرها عن الحادث الفئات المحتمل اختراقها مثل معرّفات التأمين الصحي، والتشخيصات، وتفاصيل العلاج والفواتير، وأرقام الضمان الاجتماعي، بينما ذكرت أيضًا أن الشركة قالت إنها لم ترَ دليلًا على اختراق قواعد بيانات السجلات الطبية الإلكترونية. (رويترز)
حتى لو كانت مجموعة البيانات عبارة عن مطالبات ومعلومات إدارية "فقط"، فإن المخاطر قد تظل شديدة لأنها تجمع بين الهوية وسياق الرعاية الصحية. يتيح هذا المزيج:
- الاحتيال في الهوية الطبية وإساءة استخدام التأمين
- الهندسة الاجتماعية المستهدفة (يعرف المحتالون من هي شركة التأمين الخاصة بك، ومقدمي الخدمات الذين رأيتهم، ومتى)
- مخاطر الابتزاز في الحالات أو العلاجات الحساسة التي تنطوي عليها رموز الفواتير
- ضرر طويل الأمد، لأن معرّفات الرعاية الصحية وتاريخها لا "تتناوب" مثل كلمات المرور
الطريقة الصحيحة لتوصيل ذلك داخليًا هي "إمكانية إساءة الاستخدام"، وليس "هل تضمنت مخططات كاملة". يمكن أن تكون بيانات المطالبات والفواتير كافية لإحداث ضرر جسيم.
إشارة السبب الجذري التي يجب أن تغير الميزانيات: الهوية وضوابط الوصول عن بُعد
هناك خيط متكرر في مواد الكونغرس والتقارير ذات الصلة هو فشل الهوية: بيانات الاعتماد المخترقة المستخدمة ضد البنية التحتية للوصول عن بعد، والثغرات في المصادقة متعددة العوامل على نظام مهم متورط في مسار الاختراق.
شهادة معدة مسبقًا للجنة المالية بمجلس الشيوخ تصف بيانات الاعتماد المخترقة المستخدمة للوصول إلى بوابة Citrix في 12 فبراير 2024. (اللجنة المالية بمجلس الشيوخ)
ينص ملخص مجلس النواب للطاقة والتجارة صراحةً على أن المصادقة متعددة العوامل لم يتم تمكينها لأحد أكثر الأنظمة أهمية. (لجنة الطاقة والتجارة بمجلس النواب)
هنا حيث تحصل العديد من المؤسسات على الدرس الخاطئ. قد يكون "العنوان الرئيسي" هو برمجيات الفدية، لكن مسار الدخول كان مشكلة هوية تقليدية. إذا كان برنامجك لا يزال يتعامل مع تغطية MFA كمشروع "تم إنجازه في الغالب"، فيجب عليك التعامل مع هذا الحادث على أنه تحذير.
كيف تبدو كلمة "جيد" في عام 2025:
- MFA لكل مسار وصول عن بُعد ولكل سير عمل مميز، مع التحقق المستمر من الصحة
- الوصول المشروط (وضع الجهاز، والحالات الجغرافية الشاذة، والسفر المستحيل، والتحديات القائمة على المخاطر)
- عمر الجلسة القصير والإلغاء القوي للجلسات المميزة
- إدارة الوصول المميز (PAM) لإزالة وصول المسؤول الدائم
- المراقبة التي تتعامل مع الحالات الشاذة في الهوية كأقرب إشارة عالية الثقة
تصبح معظم حوادث برمجيات الفدية الخبيثة كارثية عندما يُسمح لاختراق الهوية بالتحول إلى حركة جانبية ووصول واسع النطاق. الحد من هذه الترجمة هو المهمة.
لماذا تتغير السياسة تحديث قاعدة أمان قانون HIPAA
لم يكن تغيير الرعاية الصحية هو المحرك الوحيد، ولكنه أصبح نقطة مرجعية رئيسية في الدفع نحو تعزيز متطلبات الأمن السيبراني للرعاية الصحية. في أواخر عام 2024، أعلنت وزارة الصحة والخدمات الإنسانية والمفوضية العليا للرقابة على المخاطر عن قاعدة مقترحة لتعديل قاعدة أمن قانون HIPAA لحماية المعلومات الصحية المحمية الإلكترونية بشكل أفضل، كما نشرت رويترز تقريرًا عن دفع الإدارة الأمريكية نحو وضع قواعد جديدة للأمن السيبراني بعد وقوع حوادث كبيرة في مجال الرعاية الصحية. (الصحة والسلامة المهنية)
حتى إذا كنت لا ترغب في التنبؤ بالنتائج التنظيمية النهائية، فإن الاتجاه واضح: المزيد من التحديد، والمزيد من الضوابط المطلوبة، وتقليل التسامح مع أساسيات الأمان "القابلة للمعالجة" التي يتم التعامل معها على أنها اختيارية.
ما الذي يجب أن تفعله مؤسسات الرعاية الصحية بعد ذلك: خطة عملية لمدة 90 يومًا
هذا هو الجزء المهم بعد الانتهاء من القراءة: ما هي التغييرات التي تقلل من المخاطر بشكل ملموس؟
الأيام من 0 إلى 30: ارسم خريطة "التبعيات النظامية" الحقيقية
ضع قائمة بالأطراف الثالثة التي، في حالة عدم توفرها لمدة أسبوعين إلى ثلاثة أسابيع، ستعطل: تقديم المطالبات، والتحقق من الأهلية، والإذن المسبق، وتوجيه مطالبات الصيدلية، وتدفقات التبادل الإلكتروني للبيانات (EDI)، وفواتير المرضى.
ثم اكتب كتاب تشغيل "الوضع المتدهور" لكل تبعية. لا تجعلها مثالية. اجعلها قابلة للتنفيذ: ما هي الخطوات اليدوية الموجودة، وما هي القنوات البديلة الموجودة، ومن يوافق على الاستثناءات، وكيف تحافظ على تدفق الرعاية.
تُظهر النتائج التي توصلت إليها AHA الحقيقة الصعبة: ستحدث الحلول البديلة إما عن طريق التصميم أو الارتجال الطارئ. تصميمها أرخص. (جمعية المستشفيات الأمريكية)
الأيام 31-60: اجعل فشل الهوية أصعب من برمجيات الفدية الخبيثة المربحة
استخدم إشارات تغيير هوية الرعاية الصحية كدالة إجبارية:
- سد ثغرات MFA (الوصول عن بُعد أولاً، ثم مسارات المسؤول، ثم وصول البائع)
- إزالة امتيازات المسؤول الدائم وتنفيذ الوصول في الوقت المناسب
- تشديد الرقابة على امتداد حساب الخدمة وتدوير الأسرار
- تدقيق مخزون الوصول عن بُعد (Citrix، وشبكة VPN، وVDI، وبوابات RDP، وتطبيقات SSO، وبوابات الشركاء)
هذه هي أسرع طريقة لتقليل احتمالية الدخول وسرعة التصعيد.
الأيام 61-90: تقليل نصف قطر الانفجار وإثبات قابلية الاسترداد
يجب أن يعكس التقسيم سير العمل وجواهر التاج. إن هدفك هو منع "موطئ قدم واحد" من أن يصبح "تشفيرًا واستخراجًا على مستوى المؤسسة".
ثم اختبر الاسترداد والاستمرارية في ظل قيود واقعية: افترض أن البائع معطل لأسابيع. قم بإجراء التمرين مع الشؤون المالية والعمليات والقيادة السريرية والقانونية والاتصالات. قم بقياس وقت الاحتواء ووقت الاسترداد.
إذا لم تتمكن من قياسه، فلن تتمكن من تحسينه.
كيف يناسب Penligent (الأمن القائم على الأدلة أولاً، وليس الوعود المموجة باليد)
تعزز حادثة Change Healthcare أن النتائج الكارثية غالبًا ما تأتي من مجموعة من العوامل: الانكشاف على الوصول عن بُعد، وثغرات التحكم في الهوية، والتكاملات المفرطة في الثقة، ونقاط ضعف التفويض، والبنية التي تسمح بحركة جانبية واسعة.
تم تصميم Penligent.ai على أساس اختبار الأمان القائم على الأدلة أولاً: تحديد مسارات هجوم واقعية عبر تطبيقات الويب وواجهات برمجة التطبيقات وسير العمل المتكاملة، ثم إنتاج أدلة قابلة للتنفيذ يمكن للفرق الهندسية إصلاحها ويمكن لفرق القيادة تحديد أولوياتها. في بيئات الرعاية الصحية التي تحتوي على بوابات الشركاء وواجهات برمجة التطبيقات ذات الصلة بالمطالبات وعمليات سير العمل ذات الهوية الثقيلة، يمكن أن يساعد التحقق المستمر في الكشف عن نقاط الضعف عالية التأثير في وقت مبكر - قبل أن تتحول إلى خلل منهجي.
الأسئلة الشائعة
كم عدد الأشخاص الذين تأثروا باختراق شركة Change Healthcare؟
ينص مكتب مفوضية حماية حقوق الإنسان التابعة لوزارة الصحة والخدمات الإنسانية على أن شركة Change Healthcare أبلغت مكتب المفوضية في 31 يوليو 2025 أن ما يقرب من 192.7 مليون شخص تأثرت. (الصحة والسلامة المهنية)
هل أبلغت المستشفيات عن التأثيرات على رعاية المرضى؟
نعم. ذكرت نتائج مسح جمعية القلب الأمريكية 74% من المستشفيات التي شهدت تأثيرات مباشرة على رعاية المرضى و 94% أثر مالي من ذوي الخبرة. (جمعية المستشفيات الأمريكية)
ما هي إشارة الوصول الأولية التي يجب أن يتذكرها المدافعون؟
تصف الشهادة المُعدّة مسبقًا بيانات الاعتماد المخترقة المستخدمة ضد بوابة الوصول عن بُعد، وأبرزت ملخصات الكونغرس أن المصادقة المصادقة متعددة الأطراف لم يتم تمكينها على نظام مهم. (اللجنة المالية بمجلس الشيوخ)
هل يتغير تنظيم الأمن السيبراني للرعاية الصحية بسبب حوادث كهذه؟
اقترح مكتب مفوض حماية المعلومات الصحية والصحة المهنية (HHS OCR) تغييرات لتحديث وتعزيز متطلبات قاعدة أمان قانون HIPAA، ويربط الإبلاغ بين الدفع بحوادث الرعاية الصحية الكبرى. (الصحة والسلامة المهنية)
