Violação de dados da Concord Orthopaedics em 2024

O comunicado oficial da organização vincula a Concord Orthopaedics, o software de terceiros para cadastro de pacientes, a data de notificação de 21 de novembro de 2024 e os tipos de dados potencialmente afetados a um único evento. O registro do HHS OCR também confirma a organização, o total de 72.815 pessoas e a data de comunicação do incidente, 25 de março de 2025.

Análises independentes do incidente associam os detalhes do comunicado oficial e o total de 72.815 registrado pelo órgão regulador à mesma violação de dados. As fontes públicas não informam o início nem o fim exatos do acesso não autorizado. Por isso, 21 de novembro é tratado aqui como a data em que a organização foi notificada, e não como uma suposta data exata do ataque.

Em 21 de novembro, a Concord Orthopaedics soube que uma pessoa não autorizada pode ter acessado um software de terceiros usado para cadastrar pacientes e potenciais pacientes e registrar sua chegada para consultas. A organização desativou o acesso, redefiniu as senhas do software e contratou especialistas externos em segurança cibernética para investigar a natureza do evento.

A investigação constatou que a pessoa não autorizada acessou o software e pode ter visualizado ou obtido informações de cadastro e de registro para consultas armazenadas nele. Não foram encontradas evidências de comprometimento do ambiente interno da Concord Orthopaedics nem de seu sistema de prontuários eletrônicos, que funcionava em uma aplicação separada.

Dependendo da pessoa, as informações podem ter incluído nomes, datas de nascimento, números de Social Security, números de carteira de motorista ou de documento de identificação estadual e, para algumas pessoas, imagens de documentos de identidade. Os dados de consultas mencionados no comunicado incluíam o tipo de consulta, o nome do médico e a data e o local da consulta.

Os campos relacionados ao seguro de saúde poderiam incluir o número de beneficiário do plano de saúde, o número do plano e informações sobre elegibilidade para cobertura. Endereços de e-mail, senhas, cartões de pagamento e contas bancárias não estão incluídos neste registro porque o comunicado oficial do incidente não confirma esses campos.

Números de identificação combinados com detalhes de consultas médicas e seguros de saúde podem aumentar o risco de roubo de identidade, pedidos fraudulentos de pagamento ao seguro e golpes direcionados. Números de Social Security e de carteira de motorista são difíceis de alterar, por isso o uso indevido pode surgir muito tempo depois do evento original.

Alguém que conheça um tipo real de consulta, o nome de um médico ou um detalhe do seguro pode criar uma mensagem convincente. Ter essas informações não prova que quem liga representa a Concord Orthopaedics, um médico ou uma seguradora. Solicitações inesperadas devem ser verificadas por um canal independente.

A Concord Orthopaedics desativou o acesso ao software de terceiros, redefiniu senhas, conduziu uma investigação com especialistas externos em segurança cibernética e notificou as autoridades policiais federais. A organização também informou que estava revisando suas práticas e políticas relacionadas a fornecedores terceirizados.

As pessoas afetadas foram notificadas, e serviços de proteção de identidade foram oferecidos às pessoas elegíveis. O comunicado oficial confirma apenas o evento envolvendo o software de terceiros para cadastro; não informa o método de acesso inicial, uma vulnerabilidade técnica nem o período exato de acesso.

Se você recebeu uma notificação, verifique regularmente seus relatórios de crédito, contas financeiras e demonstrativos do seguro de saúde em busca de contas, transações, consultas ou pedidos de pagamento ao seguro que não reconheça. Registros suspeitos devem ser comunicados à instituição financeira e à seguradora de saúde envolvidas e, quando necessário, às autoridades competentes.

Não compartilhe números de Social Security, informações do seguro, senhas ou códigos de verificação de uso único em resposta a e-mails, mensagens ou ligações inesperados. Se uma solicitação alegar ser da Concord Orthopaedics, verifique sua autenticidade usando os dados de contato do site oficial, em vez de um link ou número de telefone presente na mensagem.