Violação de dados na Chord Specialty Dental Partners em 2024

O comunicado oficial da Chord, datado de 14 de março de 2025, descreve a data da descoberta, o período de acesso, o sistema afetado e as categorias de dados. Também identifica explicitamente a CDHA Management, LLC e a Spark DSO, LLC como empresas que operam sob o nome Chord Specialty Dental Partners.

O registro do HHS OCR apresenta as mesmas razões sociais, a mesma data do comunicado e o mesmo total de 173.430 pessoas, e classifica o evento na categoria Hacking/IT Incident, envolvendo e-mail. Um registro independente do incidente também apresenta o mesmo período de acesso, o mesmo total de pessoas afetadas e as mesmas categorias de informações divulgadas.

Por volta de 11 de setembro de 2024, a Chord descobriu atividade suspeita relacionada à conta de e-mail de um funcionário. A organização protegeu a conta e trabalhou com especialistas externos para determinar a natureza e o alcance do evento e verificar se havia ocorrido alguma outra atividade.

A investigação constatou que uma pessoa não autorizada acessou várias contas durante períodos limitados entre 19 de agosto e 25 de setembro. O comunicado oficial não divulga o método de acesso inicial, uma vulnerabilidade técnica ou o responsável. Por isso, o registro não caracteriza o evento como phishing, ransomware ou ação de um grupo identificado.

O comunicado oficial informa que os campos variavam de uma pessoa para outra e poderiam incluir o nome junto com endereço, número do seguro social, informações da carteira de motorista, informações de conta bancária, informações de cartão de pagamento, data de nascimento, informações médicas ou informações de seguro de saúde.

Não se deve presumir que a lista completa se aplique a todas as 173.430 pessoas. A Chord não confirmou que informações foram retiradas das contas e afirmou não ter conhecimento de evidências de uso indevido dessas informações. Ainda assim, não pôde descartar a possibilidade de que a pessoa não autorizada tivesse acessado esses dados.

Nomes, endereços, datas de nascimento e identificadores emitidos pelo governo podem ser combinados para roubo de identidade, abertura fraudulenta de contas ou solicitações convincentes de verificação de identidade. O fato de alguém conhecer um dado pessoal verdadeiro em uma ligação ou mensagem inesperada não comprova que a comunicação seja legítima.

Informações de conta bancária e de cartão de pagamento podem aumentar o risco de transações não autorizadas. Informações médicas e de seguro de saúde podem ser usadas em pedidos fraudulentos de cobertura ou reembolso, em tentativas de se passar por prestadores de serviços de saúde ou em golpes direcionados. Por isso, é importante revisar regularmente os registros financeiros e de saúde.

A Chord afirma que protegeu a conta em questão, realizou uma análise abrangente com especialistas externos em segurança cibernética e examinou as informações armazenadas nas contas para identificar as pessoas afetadas. A organização também revisou suas medidas de segurança e ofereceu treinamento adicional aos funcionários.

Foram enviadas notificações às pessoas para as quais havia informações de endereço disponíveis, e serviços de monitoramento de crédito e proteção de identidade foram oferecidos às pessoas elegíveis. Essa distinção é importante: o comunicado descreve um possível acesso e não afirma que houve obtenção confirmada de dados ou uso fraudulento.

Se você recebeu uma notificação, revise a movimentação de suas contas bancárias e de seus cartões para identificar transações que não reconhece, consulte seus relatórios de crédito e considere um congelamento de crédito ou um alerta de fraude, quando apropriado. Atividades suspeitas devem ser comunicadas diretamente à instituição financeira correspondente e às autoridades.

Registros inesperados em prontuários médicos, demonstrativos de seguro de saúde ou solicitações de pagamento devem ser verificados diretamente com o prestador de serviços ou a seguradora. Não compartilhe seu número do seguro social, dados de cartão, senha ou código de verificação de uso único em resposta a um e-mail, ligação ou mensagem inesperada.