Vazamento de dados da Community Dental Care em 2024

O registro do HHS OCR associa, em um único evento, a Community Dental Care, Inc., prestadora de serviços de saúde de Minnesota, o total de 134.903 pessoas, a data de comunicação de 28 de março de 2025 e um servidor de rede. O domínio oficial da organização confirma a identidade da prestadora de serviços odontológicos sem fins lucrativos que atua em Minnesota.

Uma análise independente do incidente cita a notificação da Community Dental Care e relaciona o acesso não autorizado por volta de 6 de dezembro, a descoberta em 20 de dezembro, a conclusão da análise dos arquivos em 24 de março de 2025 e os tipos de informações divulgados. A carta de notificação de Massachusetts também corrobora a identificação da mesma organização, o envolvimento de pacientes e funcionários e a data de notificação de 28 de março de 2025.

Em 20 de dezembro de 2024, a Community Dental Care detectou atividades não autorizadas em seu sistema de computadores e iniciou uma investigação sobre a natureza do incidente. A análise constatou que um terceiro não autorizado pode ter visualizado e obtido informações sensíveis por volta de 6 de dezembro de 2024.

As divulgações públicas não identificam o responsável, o método de acesso inicial, a vulnerabilidade técnica nem se houve envolvimento de ransomware. Por isso, o registro mantém 6 de dezembro como data aproximada da ocorrência e 20 de dezembro como uma data distinta, referente à descoberta.

A análise concluída em 24 de março de 2025 constatou que as informações potencialmente afetadas incluíam nomes, endereços, datas de nascimento, números de Seguro Social, números de carteiras de motorista ou de outros documentos de identificação emitidos pelo governo, números de passaportes, informações médicas e informações de seguro de saúde.

A Community Dental Care afirmou que as informações envolvidas variavam de pessoa para pessoa. Senhas, endereços de e-mail, cartões de pagamento e contas bancárias não foram incluídos neste registro porque as divulgações públicas sobre o incidente não confirmam esses tipos de dados.

A exposição conjunta de dados de identidade e de saúde pode aumentar o risco de roubo de identidade, abertura fraudulenta de contas, fraude tributária ou uso indevido de seguro. Números de Seguro Social e de documentos de identificação emitidos pelo governo não podem ser alterados facilmente, por isso o monitoramento cuidadoso não deve se limitar a um período curto.

Pessoas que ligam e conhecem um endereço verdadeiro, uma data de nascimento ou um detalhe de saúde podem parecer mais convincentes. Ter essas informações não comprova que o remetente representa a Community Dental Care, uma seguradora ou um órgão governamental. Solicitações inesperadas devem ser verificadas por um canal independente.

A Community Dental Care enviou notificações pelo correio às pessoas afetadas e ofereceu às pessoas elegíveis 24 meses de monitoramento de crédito, monitoramento de identidade, cobertura de seguro para reembolso e assistência para recuperação da identidade. A notificação também descreveu o bloqueio de crédito e as etapas para verificar relatórios de crédito.

A organização identificou os arquivos e as pessoas afetadas durante sua análise, concluída em 24 de março de 2025. As fontes públicas não relatam uso indevido confirmado nem atribuem o evento a um grupo específico, por isso essas afirmações não foram incluídas no registro.

Quem recebeu uma notificação deve verificar os relatórios de crédito e os demonstrativos do seguro de saúde em busca de contas, solicitações ou serviços que não reconheça. Atividades suspeitas devem ser comunicadas à instituição financeira pertinente, à seguradora, aos órgãos de proteção ao crédito e às autoridades competentes, quando necessário.

Números de Seguro Social, documentos de identidade, senhas e códigos de verificação de uso único não devem ser compartilhados em e-mails, mensagens ou ligações inesperadas. Solicitações que aleguem vir da Community Dental Care ou de outra organização devem ser verificadas pelos dados de contato disponíveis no site oficial da organização, e não por links ou números de telefone presentes na mensagem.