Violação de dados da CPAP Medical em 2024

A fonte principal é o Aviso de Incidente de Segurança de Dados emitido pela CPAP Medical Supplies and Services. Ele descreve diretamente o acesso não autorizado à rede, a investigação forense e a revisão de documentos, o período de acesso, o início das notificações, o monitoramento de crédito oferecido às pessoas cujos números do Seguro Social estavam nos dados e as recomendações de proteção.

A segunda fonte é o portal de violações de dados do HHS OCR, que confirma o alcance de 90.133 pessoas e as classificações do incidente. A terceira é a reportagem do HIPAA Journal de 20 de agosto de 2025, que descreve de forma independente as datas e as categorias de dados com base no aviso apresentado à Procuradoria-Geral do Maine. As fontes são consistentes quanto à organização, ao alcance do incidente, ao acesso à rede e às datas da revisão.

Um agente não autorizado entrou no ambiente de rede da CPAP Medical em 13 de dezembro e manteve o acesso até 21 de dezembro. Ao tomar conhecimento do incidente, a organização afirmou que conteve a ameaça, protegeu seu ambiente interno e iniciou uma investigação minuciosa com profissionais externos de segurança cibernética para determinar se dados pessoais ou sensíveis haviam sido afetados.

Após uma investigação forense e uma complexa revisão manual de documentos, a CPAP Medical determinou, em 27 de junho de 2025, que os sistemas afetados continham informações identificáveis de saúde e de caráter pessoal. As notificações começaram em 15 de agosto nos casos em que havia informações de contato disponíveis. A data do incidente se baseia na primeira atividade técnica que pode ser verificada em fontes públicas.

Segundo a reportagem do HIPAA Journal baseada no documento apresentado à autoridade reguladora, os arquivos poderiam conter nomes completos, datas de nascimento, números do Seguro Social, informações financeiras e bancárias, informações médicas e informações de seguro-saúde. O aviso oficial publicado on-line também confirma a presença de informações pessoais identificáveis e informações de saúde protegidas e afirma que alguns arquivos afetados continham números do Seguro Social.

A organização não afirmou que todos os campos estavam presentes para cada uma das 90.133 pessoas. Por isso, este registro não soma categorias de dados para calcular totais de subgrupos nem inclui endereços de e-mail, senhas ou dados de cartões de pagamento que não tenham sido divulgados. Embora os arquivos possam ter sido visualizados ou exfiltrados, as fontes não comprovam que tenham sido divulgados publicamente ou vendidos a um grupo de ameaças identificado pelo nome.

A contagem de pessoas ou registros afetados publicada pela fonte oficial representa o alcance informado do incidente. Isso não significa que todas as categorias de dados divulgadas estavam presentes para cada pessoa. O mesmo total aparece em reportagens baseadas no documento apresentado à Procuradoria-Geral do Maine. Esse número contabiliza pessoas abrangidas pelas notificações, não arquivos, prescrições, pedidos de equipamentos, solicitações de cobertura de seguro ou elementos individuais de dados.

Com sede em Jacksonville, a CPAP Medical fornece produtos para terapia do sono e equipamentos CPAP, especialmente para famílias de militares e integrantes das Forças Armadas na ativa ou aposentados.

A CPAP Medical afirmou que conteve a ameaça, protegeu seus sistemas, conduziu uma investigação forense com profissionais externos e concluiu uma revisão de documentos. A organização também afirmou que avalia e modifica continuamente suas práticas e seus controles internos para melhorar a segurança e a privacidade das informações pessoais.

No momento das notificações, não havia sido encontrada nenhuma evidência de uso indevido decorrente do incidente. Mesmo assim, as pessoas cujos números do Seguro Social estavam envolvidos receberam monitoramento de crédito gratuito, e os destinatários foram orientados a verificar suas contas financeiras, relatórios de crédito e demonstrativos explicativos de benefícios do seguro-saúde. A ausência de uso indevido conhecido não elimina riscos futuros.

Se você recebeu a notificação, ative o monitoramento oferecido dentro do prazo de adesão informado e verifique seus relatórios de crédito, movimentações bancárias e registros de seguro-saúde em busca de contas, transações ou serviços que não reconheça. Se encontrar um registro suspeito, comunique-o por um canal oficial que você já conheça da instituição financeira, seguradora ou prestador de serviços de saúde.

A ligação com comunidades militares, combinada com informações de saúde, pode tornar tentativas de phishing direcionado mais convincentes. Não abra diretamente links em mensagens inesperadas que aleguem ser da CPAP Medical, de um programa de benefícios para militares, de um banco ou de uma seguradora; inicie o contato pelo site oficial ou por um número verificado.