Vazamento de dados de Community Health Center 2024

No incidente do Community Health Center, os tipos de dados que podem estar em risco incluem nome e sobrenome, data de nascimento, endereço físico, telefone, endereço de e-mail, diagnósticos, detalhes de tratamentos, resultados de exames, número do Seguro Social e informações de seguro de saúde. As notificações referentes a pacientes pediátricos também especificam informações de responsáveis financeiros, notas de evolução clínica, informações sobre medicamentos, registros obtidos de outros prestadores de serviços de saúde e outros campos semelhantes dos prontuários. Notificações adicionais também associam ao incidente campos como informações demográficas, gênero, raça, etnia, data e resultado de teste de COVID, além de tipo de vacina, dose e data de aplicação.

Quando esses tipos de dados são avaliados em conjunto, o risco não se limita às informações de contato. Os dados de saúde podem conter informações pessoais sobre diagnósticos, tratamentos, exames, medicamentos e histórico de vacinação. Identificadores permanentes, como o número do Seguro Social e a data de nascimento, aumentam o risco de roubo de identidade e de solicitações fraudulentas. As informações de seguro de saúde podem ser usadas para cobranças fraudulentas por serviços ou uso indevido do seguro. Para pacientes infantis e responsáveis financeiros, o risco pode persistir por mais tempo, pois os dados de identificação de crianças podem ser usados indevidamente durante anos sem que isso seja percebido.

Este registro adota 14 de outubro de 2024 como a data de início da violação e 2 de janeiro de 2025 como a data de detecção do incidente. A organização informou que o acesso do invasor foi interrompido em poucas horas, que nenhum dado foi excluído ou bloqueado e que as operações diárias não foram afetadas. Portanto, o registro não apresenta nenhuma alegação de interrupção operacional, como criptografia de arquivos ou indisponibilidade prolongada dos sistemas. O risco decorre dos arquivos com dados de saúde e identificação que o invasor pode ter obtido.

Como as categorias de dados podem variar de uma pessoa para outra, este registro não afirma que todos os campos estejam presentes para cada indivíduo. Por exemplo, os campos incluídos em uma notificação a um paciente adulto podem ser diferentes daqueles presentes em uma notificação referente a um paciente infantil ou a um responsável financeiro. Para pessoas que receberam serviços de testagem ou vacinação contra a COVID, podem se destacar campos como data do teste, informações sobre o resultado, tipo de vacina, dose e data de aplicação. Os tipos de dados listados nesta página representam categorias verificadas associadas ao incidente; os campos exatos referentes a cada pessoa devem ser avaliados conforme os detalhes da carta de notificação.

O principal grupo em risco é composto por pacientes atuais e antigos que receberam serviços de saúde, odontologia, saúde comportamental, atendimento de saúde em escolas ou serviços clínicos semelhantes por meio do Community Health Center, Inc. Além disso, pessoas que receberam serviços de testagem ou vacinação contra a COVID em uma clínica operada pelo CHC, responsáveis financeiros que fornecem informações de pagamento ou seguro em nome de um paciente, pais, responsáveis legais e determinados grupos de funcionários também podem estar incluídos no escopo do incidente. Mesmo que uma pessoa não se lembre diretamente do nome CHC, ela pode ter se cadastrado por meio de uma clínica local, de um serviço de saúde em uma escola ou de um centro de testagem.

O risco exige atenção especial no caso de pacientes infantis, pois os dados de identificação das crianças podem ser usados sem que isso seja detectado até a vida adulta. Pessoas cujas informações de seguro de saúde estejam envolvidas podem enfrentar solicitações falsas de serviços ou cobranças incorretas. Quem tiver informações sobre diagnósticos, resultados de exames, detalhes de tratamentos, medicamentos ou vacinas envolvidas corre maior risco à privacidade. Pessoas cujo número do Seguro Social esteja envolvido devem ter cuidado com fraudes de crédito e em solicitações a órgãos oficiais. Quem tiver dados de e-mail e telefone envolvidos deve ficar atento a mensagens enviadas sob o pretexto de serviços de saúde, resultados de exames, registros de vacinação ou proteção de identidade.

As pessoas que podem ter sido afetadas por este incidente devem primeiro verificar quais tipos de dados estão incluídos na notificação recebida. Se o número do Seguro Social estiver incluído, devem obter um relatório de crédito e considerar opções como congelamento de crédito ou alertas de fraude. No caso de pacientes infantis, os pais ou responsáveis devem verificar se existe um histórico de crédito em nome da criança e, se necessário, buscar informações sobre os procedimentos para congelar o crédito dela. Pessoas cujas informações de seguro de saúde estejam envolvidas devem verificar regularmente seus demonstrativos de benefícios, os pedidos de cobertura ao seguro e quaisquer serviços de saúde que não reconheçam.

As pessoas afetadas devem revisar os prontuários médicos e as informações sobre diagnósticos, tratamentos, resultados de exames, medicamentos ou vacinação no portal do paciente e nos registros dos serviços de saúde. Se identificarem um serviço não reconhecido, um registro incorreto, uma cobrança inesperada ou o nome de um prestador desconhecido, devem entrar em contato por escrito com a instituição responsável. Os usuários não devem clicar em links inesperados enviados sob o pretexto de proteção gratuita de identidade, atualização de prontuários, resultados de exames ou correção de informações do seguro. Para entrar em contato com a instituição, devem usar os canais indicados na carta de notificação ou canais verificados de forma independente.

Em incidentes que afetam tanto dados de saúde quanto de identificação, como o vazamento de dados do Community Health Center em 2024, a proteção deve ser mantida a longo prazo. Alterar senhas pode ajudar, mas não é suficiente por si só, já que o incidente também envolve dados permanentes de identificação e saúde. Os usuários devem revisar regularmente seus relatórios de crédito, ficar atentos a solicitações fraudulentas antes do período de declaração de impostos, acompanhar os pedidos de cobertura ao seguro de saúde e corrigir prontamente qualquer informação desconhecida em seus prontuários médicos.

Os usuários devem usar senhas fortes e exclusivas nos portais de pacientes e ativar a autenticação multifator sempre que possível. No caso de pacientes pediátricos, os pais ou responsáveis devem continuar acompanhando as verificações de identidade e crédito não apenas no período inicial de notificação, mas também nos anos seguintes. Como as informações sobre vacinação, exames, diagnósticos e tratamentos são privadas e sensíveis, é importante ter cuidado com mensagens fraudulentas personalizadas que usem esses dados. Ao identificar uma transação suspeita, um registro de saúde incorreto ou um pedido de cobertura ao seguro não reconhecido, é necessário guardar a data, o nome da instituição, o número da transação e os registros das comunicações.

A verificação de registros nesta página permite que os usuários visualizem registros de dados pessoais e de saúde que podem estar associados ao vazamento de dados do Community Health Center em 2024. Uma correspondência não significa que todos os tipos de dados listados tenham sido expostos para a mesma pessoa. Os usuários devem se basear nos campos indicados em suas próprias cartas de notificação e avaliar os diferentes riscos conforme sua condição de paciente adulto, paciente infantil, responsável financeiro ou pessoa que recebeu serviços relacionados à COVID.

Depois de verificar se foram afetados, os usuários devem priorizar as medidas de acordo com o tipo de dado. Para dados de identificação, a prioridade deve ser a verificação de crédito e de solicitações a órgãos oficiais; para dados de saúde, a revisão de prontuários e registros do seguro; e, para dados de crianças, as verificações de proteção de identidade a longo prazo. O vazamento de dados do Community Health Center em 2024 é um incidente de segurança de dados de saúde em larga escala que demonstra por que a detecção rápida e a classificação dos dados em instituições de saúde são fundamentais para a segurança dos usuários.