Vazamento de dados da American Addiction Centers (422.424 pessoas)

A empresa tomou conhecimento de um incidente de segurança cibernética por volta de 26 de setembro, contratou especialistas externos e notificou as autoridades policiais. Até 3 de outubro, a investigação havia determinado que uma parte não autorizada obteve determinados dados dos sistemas da empresa entre 23 e 26 de setembro.

A American Addiction Centers não divulgou o método de acesso inicial nem uma vulnerabilidade explorada. O grupo de ransomware Rhysida reivindicou a autoria, mas a notificação da empresa não confirmou a identidade do responsável. Portanto, o evento é registrado como um caso confirmado de acesso não autorizado e obtenção de dados, enquanto a atribuição de autoria permanece não verificada.

A notificação individual listou nomes, endereços, números de telefone, datas de nascimento, números de prontuário ou outros identificadores, números de Seguro Social e informações de seguro-saúde. A combinação de campos variou de pessoa para pessoa.

A notificação inicial afirmou que informações sobre tratamentos e dados de cartões de pagamento não estavam envolvidos. Uma notificação posterior de acordo judicial, autorizada pelo tribunal, incluiu informações sobre tratamentos na definição das informações privadas em questão. As pessoas notificadas devem se orientar pelas categorias listadas na notificação que receberam.

Um relatório inicial enviado ao Departamento de Saúde e Serviços Humanos dos Estados Unidos listou 410.747 pacientes. Em um documento posterior, apresentado em 23 de dezembro de 2024 ao procurador-geral do Maine, a empresa informou que 422.424 pessoas foram afetadas. Esses números não representam incidentes distintos nem totais que devam ser somados; o catálogo usa o total informado posteriormente para o mesmo evento.

Números de Seguro Social combinados com datas de nascimento e endereços podem facilitar o roubo de identidade ou solicitações fraudulentas de abertura de contas. Informações de seguro-saúde e identificadores médicos também podem ser usados para solicitações fraudulentas ao seguro, uso indevido de identidade em serviços de saúde e golpes personalizados e convincentes.

Informações de saúde relacionadas ao tratamento para dependência representam um risco adicional e grave à privacidade. Você não deve responder a mensagens de ameaça ou extorsão que mencionem essas informações. Para obter suporte sobre o incidente, entre em contato apenas pelos canais da organização cuja autenticidade tenha sido verificada de forma independente.

A organização afirmou que conteve o ataque, trabalhou com autoridades policiais e especialistas externos em segurança cibernética e implementou medidas adicionais de proteção. Às pessoas afetadas, foram oferecidos 12 meses de monitoramento de crédito em um único birô de crédito, um relatório de crédito, uma pontuação de crédito e assistência proativa contra fraudes.

Se você recebeu uma notificação, pode ativar o serviço gratuito de monitoramento seguindo as instruções verificadas da carta, revisar seus relatórios de crédito e considerar um congelamento de crédito ou um alerta de fraude. Qualquer movimentação financeira não reconhecida deve ser comunicada diretamente à instituição correspondente.

Confira os demonstrativos do seguro-saúde, os portais de pacientes e as faturas médicas para identificar serviços que você não recebeu. Evite links inesperados que aleguem ser da American Addiction Centers, de um centro de tratamento afiliado ou do prestador do serviço de monitoramento até verificar o remetente por um canal de contato independente.