Violação de dados da Alabama Ophthalmology Associates em 2025

O comunicado oficial da Alabama Ophthalmology Associates sobre o incidente descreve o período de acesso, a data da descoberta, as categorias de dados acessados e o processo de notificação. A organização afirma que detectou atividade incomum na rede em 30 de janeiro de 2025 e iniciou uma investigação com especialistas independentes em perícia digital.

O registro do HHS OCR identifica a mesma organização como prestadora de serviços de saúde, informa o total de 131.576 pessoas e classifica o evento como Invasão/Incidente de TI envolvendo um computador de mesa e um servidor de rede. Esse total não significa que todos os campos de dados estavam presentes para cada pessoa.

Após detectar atividade incomum na rede em 30 de janeiro, a AOA tomou medidas para proteger sua rede e começou a avaliar a natureza e o alcance do evento. A investigação constatou que um agente desconhecido acessou e obteve determinadas informações sem autorização entre 22 e 30 de janeiro.

A organização realizou uma análise abrangente para identificar as informações e as pessoas afetadas. Esse trabalho foi concluído em 19 de março de 2025, e o envio de notificações às pessoas cujos endereços puderam ser identificados começou em 7 de abril de 2025.

O comunicado oficial informa que os campos variavam de pessoa para pessoa e podem ter incluído nomes, datas de nascimento, números de Seguro Social, informações de seguro de saúde, informações de tratamento, números de prontuário médico e informações de histórico médico.

Não se deve presumir que a lista completa de categorias se aplique a todas as 131.576 pessoas. Endereços de e-mail, senhas, números de carteira de habilitação, contas bancárias e cartões de pagamento não são incluídos neste registro porque o comunicado oficial não confirma esses campos.

Nome, data de nascimento e número de Seguro Social podem ser combinados para viabilizar roubo de identidade, abertura fraudulenta de contas, solicitações de crédito ou fraude fiscal. Esses dados também podem fazer com que pedidos inesperados de verificação de identidade pareçam legítimos.

Informações de seguro de saúde, tratamento, número de prontuário médico e histórico médico podem ser usadas em cobranças falsas por serviços de saúde, fraudes de seguro ou mensagens de alguém que se passa por uma prestadora de serviços de saúde. Conhecer um dado médico verdadeiro não comprova que o remetente seja legítimo.

A AOA afirma que protegeu sua rede, trabalhou com especialistas independentes em perícia digital e resposta a incidentes e analisou os dados afetados para determinar o alcance do incidente. Também criou uma central de atendimento telefônico gratuito para esclarecer dúvidas.

O comunicado oficial não identifica o responsável, o método de acesso inicial ou a vulnerabilidade técnica, nem caracteriza o evento como ransomware. Por isso, alegações não verificadas sobre o responsável e o método de ataque não são incluídas no registro.

Se você recebeu uma notificação, consulte regularmente seus relatórios de crédito e a movimentação de suas contas financeiras para identificar contas ou transações que não reconhece. Considere solicitar um congelamento gratuito de crédito ou um alerta de fraude, quando apropriado. Atividades suspeitas devem ser comunicadas à instituição financeira pertinente e às autoridades.

Verifique diretamente com a prestadora de serviços de saúde ou a seguradora qualquer registro inesperado em prontuários médicos, demonstrativos de benefícios ou pedidos de cobertura de seguro. Não compartilhe seu número de Seguro Social, senha ou código de verificação em resposta a uma ligação ou mensagem inesperada.