وجهت شركة Medtronic، الرائدة في قطاع التقنيات الطبية، إشعارات خطية إلى ما يزيد عن 3.8 مليون شخص، مؤكدة تعرض بياناتهم الشخصية والصحية للاختراق إثر هجوم سيبراني نفذ في أبريل الماضي. وكشفت التحقيقات أن جهة التهديد المعروفة باسم ShinyHunters تمكنت من الوصول غير المصرح به إلى أنظمة تقنية المعلومات المؤسسية للشركة خلال الفترة الممتدة من 13 إلى 19 أبريل 2026.
وتوضح التفاصيل التقنية للحادث أن شركة .Medtronic Inc واجهت وصولاً غير مصرح به إلى أنظمتها المؤسسية من قِبل مجموعة ShinyHunters. ورغم أن الاختراق استمر بين 13 و19 أبريل 2026، إلا أن الشركة رصدت نشاطاً غير اعتيادي واكتشفت الواقعة في 15 أبريل 2026. ووفقاً لإشعار مقدم إلى مدعي عام ولاية إنديانا، بلغ عدد المتضررين بدقة 3,834,294 فرداً، وشملت البيانات المخترقة الأسماء، وبيانات الاتصال، وتواريخ الميلاد، وأرقام الضمان الاجتماعي، بالإضافة إلى تفاصيل صحية.
وفي المقابل، أكدت المؤشرات التقنية عدم وجود أي تأثير على سلامة الأجهزة الطبية أو آلية عملها، في حين تمثلت الإجراءات العلاجية في تقديم خدمات مجانية لمراقبة الائتمان والويب المظلم لمدة 24 شهراً، إلى جانب تعزيز التدابير الأمنية والتعاون المستمر مع الجهات التنظيمية.
وكانت مجموعة ShinyHunters قد أدرجت شركة Medtronic في موقع التسريبات الخاص بها عبر شبكة Tor في 17 أبريل، مدعية الاستيلاء على أكثر من 9 ملايين سجل من المعلومات الشخصية، إلى جانب تيرابايتات من البيانات الخاصة بالشركة. ورغم هذه الادعاءات، توقف العدد الرسمي للمتضررين الذين جرى إخطارهم عند حدود 3.8 مليون شخص، ما يوضح فجوة رقمية قد تعود إلى اختلاف آليات احتساب البيانات أو مبالغة من طرف المهاجمين. وعقب ذلك، حذفت المجموعة اسم الشركة من موقعها، وهو تصرف يتبع عادة التوصل إلى اتفاق مالي، ما فتح الباب أمام تكهنات حول إمكانية دفع فدية، دون أن تؤكد Medtronic هذا الأمر أو تشير إلى وجود مطالبات ابتزاز في إشعاراتها الرسمية.
وأفادت Medtronic، بناء على نسخة من خطاب الإشعار الموجه إلى مكتب المدعي العام في كاليفورنيا، بعدم توفر أدلة تثبت نشر المعلومات المسروقة علناً أو عرضها على الإنترنت. وفي الوقت ذاته، امتنعت الشركة عن تقديم إيضاحات بشأن احتفاظ المخترقين بنسخ من البيانات، أو الأسلوب التقني الذي استغلوه للنفاذ إلى الأنظمة المؤسسية في المقام الأول.
وتأكد شمول التسريب لبيانات تعريف شخصية دقيقة مثل أرقام الضمان الاجتماعي، إلى جانب تفاصيل متعلقة بالصحة لم تحدد الشركة طبيعتها بدقة. وكإجراء تعويضي يتوافق مع المعايير التقنية المعمول بها، تتيح Medtronic للأشخاص المتضررين عامين كاملين من خدمات مراقبة الائتمان، ومراقبة الويب المظلم، واستعادة الهوية.
وصرحت الشركة بتطبيق إجراءات أمنية إضافية، ومواصلة التنسيق مع خبراء مستقلين في الأمن السيبراني لتعزيز سلامة أنظمتها، فضلاً عن إخطار سلطات إنفاذ القانون والجهات التنظيمية المعنية. وجددت تأكيدها على أن الهجوم لم يؤثر في تشغيل الأجهزة الطبية أو يهدد سلامة المرضى، نظراً لانفصال أنظمة تقنية المعلومات المؤسسية تماماً عن الشبكات الداعمة للمنتجات الطبية.
ومع ذلك، تظل عدة جوانب رئيسية في الحادثة غامضة؛ إذ لم تكشف Medtronic عن ثغرة الدخول الأولية، أو الدوافع وراء تأخير إرسال الإشعارات لفترة تجاوزت الشهرين منذ رصد النشاط المشبوه في 15 أبريل. كما لم يصدر عنها أي موقف رسمي يؤكد أو ينفي دفع الفدية، مما يجعل مسألة التفاوض مع ShinyHunters مجرد تكهنات تخضع لمتابعة دقيقة من مجتمعات الأمن السيبراني والمرضى على حد سواء.
