Violação de dados da Covenant Health em 2025

A página oficial da Covenant Health intitulada “Aviso de incidente de segurança de dados” informa a data em que o agente não autorizado entrou em seu ambiente de tecnologia da informação (IT), a data da descoberta, a confirmação do acesso a informações de pacientes e os campos afetados. A organização afirmou que começou a enviar cartas às pessoas identificadas como afetadas em 11 de julho de 2025 e que enviaria novos avisos à medida que sua análise detalhada dos dados identificasse mais pacientes.

A notificação atualizada à Procuradoria-Geral do Maine apresenta o alcance final ampliado de 478.188 pessoas. A SecurityWeek noticiou de forma independente tanto o comunicado da empresa quanto o aumento em relação à notificação inicial de 7.800 pessoas. As fontes concordam que houve, de fato, acesso a informações de pacientes; a alegação do grupo Qilin sobre 850 GB e 1,3 milhão de arquivos não corresponde a um total de pessoas confirmado pela empresa e não é usada como contagem de registros.

A investigação pericial determinou que o agente não autorizado acessou o ambiente da Covenant Health em 18 de maio de 2025. A organização recebeu um alerta sobre uma atividade incomum em 26 de maio e começou a proteger e restaurar os sistemas enquanto investigava a origem do incidente. O primeiro comunicado público e as primeiras cartas foram divulgados em 11 de julho, quando a análise das informações e das pessoas afetadas ainda estava em andamento.

A conclusão da análise detalhada dos dados em dezembro levou a um aumento substancial no número informado de pessoas afetadas. A atualização de 31 de dezembro no Maine registra 478.188 pessoas. Essa sequência mostra como um comunicado inicial pode refletir apenas o subconjunto verificado naquele momento; a LeakData usa a contagem oficial mais recente do órgão regulador, em vez de manter o número provisório menor como impacto final.

A empresa afirmou que os dados variavam de paciente para paciente, mas poderiam incluir o nome e um ou mais campos adicionais. As categorias confirmadas são endereços, datas de nascimento, números de prontuário médico e números do Seguro Social. Esses identificadores podem ser usados indevidamente para verificação de identidade, associação a contas em serviços de saúde e fraude financeira; por isso, o incidente é classificado como de gravidade alta e sensibilidade crítica.

As categorias relacionadas à saúde também incluíam informações sobre tratamentos, como diagnósticos, datas e tipos de tratamento, além de informações de seguro de saúde.

A Covenant Health tem sede em Andover, Massachusetts, e presta serviços de saúde na Nova Inglaterra e na Pensilvânia. O comunicado oficial identifica as seguintes entidades afiliadas: St. Joseph Hospital, em Nashua, New Hampshire; St. Joseph Healthcare, em Bangor, Maine; e St. Mary's Health System, em Lewiston, Maine. Este registro as trata como parte de uma única violação, abrangida pela mesma investigação corporativa.

O número de 478.188 corresponde ao total atualizado de pessoas afetadas informado pela Covenant Health, e não a uma estimativa obtida pela soma de notificações separadas de cada unidade ao órgão regulador. Portanto, não são criados registros separados para os hospitais afiliados, e uma pessoa cujas informações apareciam em mais de uma unidade não é contabilizada novamente de forma intencional. Não se presume que todos os serviços, em todos os estados onde a organização atua, tenham sido afetados; o alcance permanece limitado às pessoas notificadas.

A Covenant Health ofereceu monitoramento de crédito e proteção contra roubo de identidade gratuitos às pessoas cujos números do Seguro Social podem ter sido envolvidos. Se você recebeu um aviso, deve se inscrever dentro do prazo indicado, acompanhar seus relatórios de crédito para identificar novas contas e verificar solicitações de cobertura de seguro que não reconheça. Se um demonstrativo do plano de saúde listar um serviço que você não recebeu, entre em contato prontamente com o plano e com a organização de saúde.

A empresa afirmou que, na data do comunicado, não tinha conhecimento de uso fraudulento de informações pessoais relacionado ao evento. Isso não elimina o risco de longo prazo, especialmente porque números do Seguro Social e de prontuário médico são difíceis ou impossíveis de substituir. Você pode considerar um bloqueio de crédito, um alerta de fraude, autenticação multifator robusta e o monitoramento de suas contas junto ao fisco, de acordo com a exposição documentada no seu caso.

O número de pessoas ou registros afetados publicado pela fonte oficial representa o alcance informado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas. A detecção em 26 de maio, a notificação inicial em 11 de julho e a conclusão da análise em dezembro são etapas distintas; o número de 7.800 pessoas do antigo comunicado provisório não é somado ao total final.

Este registro contém apenas o resumo verificado do evento, a contagem atual de pessoas, as categorias de dados, a cronologia e as orientações de proteção. Se o órgão regulador ou a empresa publicar uma correção mais recente, o total e o conteúdo poderão ser reavaliados com base nesse documento primário.