Vazamento de dados de CTARS

Os tipos de dados registrados na CTARS abrangem várias camadas: endereços de e-mail e nomes de usuário estão ligados ao acesso às contas; senhas, aos riscos relacionados à identidade; números de telefone e endereços físicos, à comunicação direta e à localização; datas de nascimento e informações de gênero, aos processos de autenticação; e nomes e formas de tratamento, à identidade da pessoa no mundo real. Uma das áreas mais críticas é a dos dados pessoais de saúde. No contexto dos serviços de cuidado, informações sobre o estado de saúde, as necessidades de apoio, o processo de tratamento ou o plano de cuidado podem afetar diretamente a privacidade de uma pessoa. Quando esses dados são expostos, o risco não se limita à tomada de controle de contas: também podem surgir riscos de discriminação, fraude direcionada, chantagem e engenharia social.

A presença de campos de senha e nome de usuário aumenta o risco de tentativas de acesso a outros serviços com as credenciais das pessoas afetadas ou dos funcionários dos prestadores de serviços de cuidado. Informações de telefone e endereço podem ser usadas para tornar contatos mais convincentes, como falsas ligações de suporte, notificações de entrega, agendamentos de serviços de cuidado ou contatos que se passam por instituições oficiais. Datas de nascimento e nomes estão ligados a perguntas de verificação de identidade em alguns processos de atendimento ao cliente e, por isso, podem ajudar um invasor a contornar verificações de segurança em outras contas. Os dados relacionados à saúde são a camada mais sensível; portanto, este registro não deve ser visto como um incidente que pode ser resolvido apenas com a troca de senha.

O número 12.314 usado neste registro representa o escopo de endereços de e-mail únicos verificados. O incidente está ligado a um evento mais amplo da CTARS que afeta prestadores de serviços de cuidado na Austrália; algumas notificações indicaram que um grande número de instituições e diferentes grupos de clientes poderiam ser afetados. Ainda assim, o número apresentado nesta página representa o escopo das contas que puderam ser verificadas e não corresponde necessariamente ao total exato de pessoas afetadas. Não se deve presumir que os mesmos campos estejam presentes para todas as pessoas: para algumas, pode haver apenas informações de contato; para outras, podem ter sido incluídas informações mais sensíveis relacionadas a cuidado ou saúde.

A data do registro foi corrigida para maio de 2022. Foi relatado que o acesso não autorizado foi detectado em meados de maio de 2022 e que, posteriormente, se constatou que alguns dados haviam sido compartilhados com destinatários não autorizados. O ano incorreto informado anteriormente foi corrigido porque não correspondia à cronologia verificada deste incidente. Essa correção é importante porque apresentar a data errada do vazamento poderia confundir o usuário sobre qual período contábil e qual relação de prestação de serviços ele precisa verificar. Como o registro é sensível, os resultados devem ser exibidos apenas ao titular do endereço de e-mail em questão ou a uma pessoa com autorização sobre o domínio.

As pessoas que correm maior risco são participantes do NDIS atendidos por prestadores de serviços de cuidado que usam a CTARS, pessoas que recebem serviços voltados a pessoas com deficiência, indivíduos ligados a serviços de atendimento a crianças e famílias, residentes em instituições de cuidado a idosos, cuidadores, familiares e funcionários desses serviços. Esses grupos podem já estar mais vulneráveis a tentativas de fraude e coerção devido à necessidade de apoio ou a condições de vida delicadas. Invasores podem criar ligações, mensagens ou e-mails aparentemente confiáveis ao combinar nomes reais, informações de contato e o contexto de cuidado. É preciso ter atenção especial a contatos que se passam por instituições oficiais, prestadores de serviços de cuidado, coordenadores de apoio ou equipes de verificação de identidade.

O risco também é alto para funcionários de instituições e prestadores de serviços. Se os nomes de usuário e as senhas dos funcionários forem reutilizados em outros sistemas, invasores poderão visar as contas de e-mail, do sistema de gestão de casos, de armazenamento em nuvem ou de acesso remoto da instituição. Registros antigos de prestadores de manutenção na CTARS também podem ser afetados, mesmo que os serviços não sejam mais utilizados. Por isso, devem ser considerados não apenas os clientes atuais, mas também as pessoas que tiveram registros no sistema anteriormente. Familiares e representantes legais também correm risco, pois as informações mantidas sobre pessoas de contato podem ser usadas em tentativas de fraude.

O primeiro passo para usuários cujos dados correspondam ao registro da CTARS é atualizar todas as contas que usam a mesma senha ou uma senha semelhante. A revisão deve priorizar contas de e-mail, portais de serviços de saúde, contas de serviços públicos, contas bancárias, armazenamento em nuvem e sistemas de prestadores de manutenção. As senhas devem ser exclusivas para cada conta, e a autenticação multifator deve ser ativada nas contas importantes. Na conta de e-mail, devem ser verificadas as regras de encaminhamento, as opções de recuperação e as atividades recentes de login. Se forem observados acessos suspeitos, dispositivos desconhecidos ou mensagens inesperadas de redefinição de senha, o prestador do serviço em questão deve ser contatado diretamente.

O segundo passo é reduzir o risco de roubo de identidade e fraude. Informações de saúde, cuidado, pagamento, documentos de identidade ou contas não devem ser compartilhadas com pessoas que entram em contato por ligação ou mensagem de texto sem que sua identidade tenha sido verificada. Ao receber uma comunicação que pareça vir de uma instituição oficial ou de um prestador de serviços de cuidado, você deve responder pelo canal de contato conhecido da instituição, sem usar o link da mensagem. Se a pessoa afetada for participante do NDIS, usuária de serviços de cuidado ou representante legal, o coordenador de apoio ou o prestador de serviços deve ser informado. Se necessário, devem ser utilizados serviços gratuitos de apoio em questões de identidade, e os contatos suspeitos devem ser registrados.

Este incidente demonstra o alto grau de sensibilidade dos dados registrados em serviços de cuidado e saúde. No longo prazo, os usuários devem adotar o hábito de verificar com mais rigor as solicitações recebidas por e-mail e telefone. O uso de um gerenciador de senhas evita a reutilização de senhas em diferentes serviços. A autenticação multifator, a verificação do histórico de sessões e a atualização das informações de recuperação das contas importantes oferecem segurança duradoura. Para pessoas que recebem serviços de saúde e cuidado, também é útil elaborar um plano de verificação das comunicações em conjunto com familiares, representantes legais ou profissionais de apoio.

Para prestadores de serviços de cuidado e fornecedores de software, a estratégia de longo prazo é mais abrangente. Dados sensíveis de saúde e cuidado devem ser mantidos segundo o princípio do menor privilégio, registros antigos não devem ser retidos sem necessidade, os registros de acesso devem ser revisados regularmente e a autenticação forte deve ser obrigatória para contas de alto risco. Na resposta a incidentes, apenas desativar os sistemas não é suficiente: as pessoas afetadas devem ser informadas com clareza sobre quais áreas estão em risco, quais canais de apoio usar e a quais situações de fraude devem ficar atentas. As instituições que utilizam fornecedores também devem atualizar regularmente seus próprios inventários de dados e os riscos relacionados a terceiros.

Se o resultado da verificação nesta página corresponder ao registro da CTARS, você deve tratá-lo como sensível e não compartilhar as informações com pessoas que não precisam conhecê-las. Primeiro, proteja a conta de e-mail e quaisquer outras contas que possam ter usado a mesma senha. Em seguida, entre em contato por um canal de comunicação verificado com o prestador de manutenção, o coordenador de apoio ou a instituição responsável para perguntar quais dados podem ter sido afetados. Se receber uma ligação, mensagem ou e-mail suspeito, não responda diretamente: verifique a comunicação separadamente por um canal confiável.

Uma violação de dados da CTARS exige atenção de longo prazo devido ao contexto de saúde e cuidado. A pessoa afetada ou seu representante deve monitorar sinais de uso indevido da identidade, solicitações inesperadas de serviços, notificações de recuperação de conta e correspondências oficiais suspeitas. Quando a segurança das senhas, a autenticação e a conscientização sobre fraudes não são tratadas em conjunto, o impacto desses vazamentos de dados sensíveis pode durar anos. Por isso, o registro deve ser encarado como motivo para medidas mais amplas de segurança pessoal e privacidade, e não apenas como um alerta pontual sobre senhas.