Vazamento de dados da Cooper Health System em 2024

O registro do HHS OCR reúne, em um único evento, The Cooper Health System, um prestador de serviços de saúde de Nova Jersey, o total de 57.412 pessoas, a data de notificação de 23 de maio de 2025 e um servidor de rede. Nenhum outro registro ativo do catálogo correspondia ao nome da organização, à marca atual Cooper University Health Care, ao domínio, à data e ao total de pessoas afetadas.

Um relatório independente sobre segurança no setor de saúde descreve a notificação apresentada por Cooper ao procurador-geral do Maine e corrobora a data de descoberta de 14 de maio de 2024, o acesso não autorizado aos sistemas, a conclusão da análise dos arquivos por volta de 26 de março de 2025, os campos divulgados e o alcance de 57.412 pessoas.

Cooper afirma que detectou uma atividade incomum em sua rede em 14 de maio de 2024, sem qualquer interrupção no acesso aos sistemas. Especialistas externos em segurança cibernética foram contratados para determinar a natureza e o alcance da atividade.

A investigação constatou que um terceiro não autorizado acessou determinados sistemas e pode ter exfiltrado dados sensíveis. As fontes públicas não informam quando o acesso começou, qual foi a vulnerabilidade técnica, o método de acesso inicial ou o responsável. Por isso, 14 de maio é mantido como a data de descoberta, e não apresentado como o início confirmado do período de acesso.

A análise dos arquivos foi concluída em 26 de março de 2025 ou por volta dessa data e determinou que o conteúdo afetado incluía nomes e números de Seguro Social. O total oficial do HHS abrange 57.412 pessoas, mas não foi divulgado quais desses campos estavam presentes nos dados de cada pessoa.

Endereços de e-mail, senhas, contas bancárias, cartões de pagamento, carteiras de motorista, datas de nascimento, diagnósticos e informações de seguro não são incluídos porque os relatos públicos sobre o evento não confirmam esses dados. A expressão “pode ter exfiltrado” também não é tratada como uma afirmação de que a obtenção dos dados foi confirmada.

Um nome combinado com um número de Seguro Social pode facilitar o roubo de identidade, solicitações fraudulentas de crédito, fraude fiscal ou tentativas de abrir uma conta em nome de outra pessoa. Como esses identificadores não podem ser simplesmente alterados, o risco não se limita a um curto período.

Pessoas que ligam sabendo um nome verdadeiro ou parte de um identificador podem parecer mais convincentes. Conhecer esse tipo de detalhe não prova que o remetente representa Cooper, um banco ou um órgão governamental, e solicitações inesperadas devem ser verificadas por um canal independente.

Cooper afirma que trabalhou com especialistas externos em segurança cibernética e implementou medidas adicionais para reforçar a segurança dos sistemas. Foram enviadas notificações às pessoas afetadas, e às pessoas elegíveis foram oferecidos serviços gratuitos de monitoramento de crédito e proteção contra roubo de identidade.

As declarações públicas não caracterizam o evento como ransomware, não identificam um grupo responsável nem afirmam que as informações foram definitivamente roubadas. Por isso, o evento é registrado como acesso não autorizado à rede, enquanto o responsável e a causa raiz permanecem sem confirmação.

Quem recebeu uma notificação deve consultar regularmente os relatórios de crédito para identificar contas que não reconhece e considerar um bloqueio gratuito de crédito ou um alerta de fraude, quando apropriado. Contas e transações suspeitas devem ser comunicadas à instituição financeira pertinente, aos birôs de crédito e às autoridades.

Não compartilhe um número de Seguro Social, uma senha ou um código de verificação de uso único em resposta a um e-mail, uma ligação ou uma mensagem inesperada. Solicitações que aleguem vir de Cooper, de um banco ou de um órgão governamental devem ser verificadas usando as informações de contato disponíveis no site oficial da organização, e não os links ou números fornecidos na mensagem.