Vazamento de dados da Ascension via parceiro em 2024 (437 mil afetados)

O comunicado regulatório da Ascension informa que dados de pacientes foram compartilhados inadvertidamente com um ex-parceiro comercial e provavelmente foram roubados devido a uma vulnerabilidade em um software de terceiros usado por esse parceiro. A investigação chegou a essa conclusão em 21 de janeiro de 2025.

O registro do HHS OCR associa a Ascension Health, o total de 437.329 pessoas e a data de notificação de 28 de abril de 2025 a um único evento. Reportagens independentes sobre segurança no setor de saúde corroboram a cronologia, os campos de dados afetados e o fato de que os sistemas da própria Ascension não foram afetados.

A Ascension determinou que havia compartilhado inadvertidamente certas informações de pacientes com o ex-parceiro comercial. Uma pessoa não autorizada explorou uma vulnerabilidade em um software de terceiros usado pelo parceiro e provavelmente obteve os dados.

O comunicado público não identifica o ex-parceiro, não informa o nome do produto vulnerável, não diz quando o acesso não autorizado começou nem identifica o responsável. A Ascension afirma expressamente que sua própria rede e seus sistemas não foram invadidos neste incidente.

Dependendo da pessoa, as informações podem ter incluído nomes, endereços, números de telefone, endereços de e-mail, datas de nascimento, raça, gênero e números de Seguro Social. As categorias divulgadas não se aplicavam necessariamente a todas as pessoas afetadas.

Os dados clínicos podem ter incluído locais de atendimento, nomes de médicos, datas de internação e alta, códigos de diagnóstico e faturamento, números de prontuários médicos e nomes de seguradoras. Senhas, cartões de pagamento e informações de contas bancárias não estão incluídos nesta lista porque o comunicado oficial não os menciona.

Um número de Seguro Social combinado com informações de contato e nascimento pode aumentar o risco de roubo de identidade, solicitações fraudulentas de abertura de contas e golpes direcionados. Como muitos desses dados não mudam, pode ser adequado manter o monitoramento por um período mais longo.

Alguém que conheça detalhes reais de um atendimento hospitalar, de um médico, de um diagnóstico ou de um seguro de saúde pode criar uma mensagem convincente alegando representar a Ascension, uma clínica ou uma seguradora. Informações médicas corretas não comprovam que o remetente está autorizado.

Após tomar conhecimento do incidente, a Ascension iniciou uma investigação, revisou seus processos de compartilhamento de informações e afirmou que estava trabalhando para implementar medidas adicionais de proteção. Avisos por escrito foram enviados às pessoas afetadas.

A organização ofereceu aos destinatários elegíveis dois anos de monitoramento de crédito, orientação sobre fraudes e serviços de recuperação em caso de roubo de identidade. O comunicado público não afirma que tenha sido identificado, de forma conclusiva, uso indevido relacionado ao incidente.

Se você recebeu um aviso, revise regularmente seus relatórios de crédito, as consultas para abertura de novas contas, os demonstrativos do plano de saúde e as contas médicas em busca de serviços ou atividades que você não reconheça. Registros suspeitos devem ser comunicados prontamente às organizações responsáveis.

Não forneça seu número de Seguro Social, senha, dados de pagamento ou código de verificação em resposta a uma mensagem inesperada que alegue ser da Ascension, de um médico ou de uma seguradora. Verifique a solicitação por um canal oficial que você tenha localizado de forma independente, em vez de usar um link ou número fornecido na mensagem.