Violação de dados da Bradford Health Services em 2023

A fonte principal é a página de Aviso de Incidente de Segurança de Dados da Bradford Health Services, publicada em seu próprio domínio em 30 de maio de 2025. A prestadora confirma a descoberta em 8 de dezembro, a investigação com especialistas externos em segurança cibernética, o possível acesso e a obtenção de arquivos sem autorização, a conclusão da análise em 15 de maio de 2025 e as categorias de dados divulgadas.

A segunda fonte é a notificação oficial apresentada à Procuradoria-Geral do Maine, que informa um total atualizado de 22.465 pessoas em todo o país. O portal oficial do Escritório de Direitos Civis do HHS apresenta um registro anterior, de 6 de fevereiro de 2024, de invasão/incidente de TI em servidor de rede, com 28.543 pessoas. A cronologia mostra um levantamento inicial e outro posterior do alcance do mesmo evento, e não duas violações distintas.

A Bradford Health identificou uma atividade incomum em sua rede em 8 de dezembro e iniciou uma investigação com especialistas externos em segurança cibernética. A investigação concluiu que determinados arquivos da rede podem ter sido acessados e obtidos sem autorização. A prestadora então realizou uma análise abrangente para identificar os dados e associá-los às pessoas correspondentes.

A análise dos arquivos foi concluída em 15 de maio de 2025, e notificações por escrito foram enviadas pelo correio dos EUA em 30 de maio. A prestadora afirmou não ter evidências de uso indevido das informações potencialmente envolvidas.

Os dados de identificação, que variavam de pessoa para pessoa, incluíam nomes, números de carteira de habilitação, datas de nascimento, números de passaporte e números do Seguro Social. Números de contas financeiras e de cartões de pagamento, juntamente com um meio de acesso à conta, também estavam potencialmente envolvidos. Este registro não pressupõe que todas as categorias tenham sido afetadas para cada destinatário de uma notificação.

Um SSN combinado com uma data de nascimento e dados de um documento oficial de identificação ou passaporte pode aumentar o risco de alguém se passar pela pessoa e abrir novas contas em seu nome. Se suas informações de conta financeira ou de acesso estavam envolvidas, você pode verificar transações desconhecidas e alterações de beneficiário, endereço ou dados de contato por um canal conhecido do banco. Essa categoria ampla não comprova que uma senha estivesse envolvida.

A Bradford Health descreve as informações médicas com exemplos que incluem detalhes de diagnóstico e tratamento, nomes de médicos e números de prontuários. Informações de seguro de saúde também estavam potencialmente envolvidas. Essas categorias são sensíveis no contexto da saúde comportamental, mas a prestadora não divulga publicamente a condição específica, o tratamento ou o subtipo de seguro de uma pessoa.

Uma mensagem inesperada que contenha o nome real de um médico, um diagnóstico ou um detalhe de tratamento pode parecer convincente. Se você recebeu uma notificação, pode consultar os demonstrativos de benefícios, os prontuários médicos e a atividade no portal do paciente, além de verificar serviços desconhecidos ou alterações pelo número oficial da prestadora. Informações de saúde sensíveis não devem ser enviadas em uma resposta nem por meio de um link recebido sem solicitação.

As 28.543 pessoas informadas ao HHS em 6 de fevereiro de 2024 correspondem a uma notificação inicial do setor de saúde, feita cerca de dois meses após a descoberta. A análise dos arquivos pela prestadora continuou até 15 de maio de 2025, e a notificação posterior apresentada no Maine registra 22.465 pessoas em todo o país. O total mais recente, apurado após a conclusão da análise, substitui o relatório preliminar; os dois números não devem ser somados.

O número de pessoas afetadas ou de registros publicado pela fonte oficial representa o alcance informado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. Um total final menor não invalida o evento; uma análise pode excluir registros duplicados, fora do escopo ou que não exigem notificação, ao mesmo tempo que identifica as pessoas que de fato precisam ser notificadas.

A Bradford Health afirmou que implementou medidas adicionais para melhorar a segurança da rede e reduzir o risco de um evento semelhante, comunicou o incidente às autoridades policiais e criou uma central de atendimento com ligação gratuita pelo número 1-877-670-4122. Sua página informa que os atendentes estavam disponíveis nos dias úteis, das 7:00 da manhã às 7:00 da noite, no horário central, para esclarecer dúvidas sobre o incidente.

Se você recebeu uma notificação, baseie-se nos dados indicados em sua própria carta e considere um bloqueio de crédito, um alerta de fraude e o monitoramento de novas contas se houver um SSN ou documento oficial de identificação envolvido; a análise de transações, no caso de dados financeiros; e a análise de benefícios e prontuários, no caso de dados de saúde. Não forneça uma senha, seu SSN completo ou um código de uso único, nem envie pagamentos em resposta a uma mensagem inesperada que use o nome Bradford.