Vazamento de dados de Decisely 2024

No incidente da Decisely em 2024, os tipos de dados que podem estar em risco incluem nome e sobrenome, data de nascimento, número de telefone, número de passaporte, assinatura digital, número do Seguro Social e informações de contas financeiras. Como os comunicados da organização mencionam informações pessoais e informações de saúde protegidas, o incidente também envolve riscos para registros sensíveis de benefícios e saúde. No entanto, campos adicionais não listados diretamente neste registro, como seguro de saúde, não foram incluídos como categoria de dados.

Como os números do Seguro Social e de passaporte são dados de identificação permanentes, eles podem ser usados indevidamente em solicitações de crédito, abertura de contas falsas, fraudes em transações oficiais e processos de verificação de identidade. Assinaturas digitais são dados sensíveis que podem ser usados para dar aparência de autenticidade a documentos ou autorizações falsos. Pessoas cujas informações de contas financeiras estejam envolvidas devem acompanhar com atenção as transações bancárias, as instruções de pagamento automático e as solicitações de alteração de conta. Números de telefone e datas de nascimento, quando combinados com outras informações, criam riscos adicionais de fraude direcionada e de uso indevido nas etapas de verificação de identidade.

Neste registro, 16 de dezembro de 2024 foi adotado como a data da violação, e 17 de dezembro de 2024 como a data em que o incidente foi identificado. As notificações começaram por volta de 13 de junho de 2025, e o número de pessoas aumentou posteriormente. As primeiras notificações de saúde divulgadas publicamente mencionavam 65.405 pessoas, e a contagem de pessoas afetadas na atualização mais recente foi informada como 537.603. Por isso, este registro utiliza a contagem ampliada atual, em vez do número inicial; o texto deixa claro que não se trata de uma contagem de registros, mas do número de pessoas afetadas no âmbito do incidente.

Os tipos de dados podem variar de pessoa para pessoa. Enquanto algumas podem ter apenas um conjunto limitado de dados envolvido, como nome e número de telefone, outras podem ter números do Seguro Social, números de passaporte, assinaturas digitais ou informações de contas financeiras. Este registro se concentra no processo de notificação realizado por meio dos próprios serviços da Decisely e dos respectivos detentores dos dados. Como há uma alegação de obtenção não autorizada de dados do ambiente de armazenamento em nuvem, o risco não se limita à possibilidade de visualização: também inclui cenários em que algumas informações podem ter sido obtidas.

O principal grupo em risco inclui pequenas empresas atendidas pela Decisely, empregadores, provedores de planos de benefícios e pessoas cujos registros são tratados nos processos de recursos humanos e folha de pagamento. Uma pessoa pode não reconhecer o nome Decisely, pois o registro pode ter se originado por meio de seu empregador, provedor de benefícios, serviço de aposentadoria, processo de folha de pagamento ou programa de saúde ou benefícios. Por isso, as pessoas notificadas devem considerar não apenas se têm uma conta na Decisely, mas também seu histórico de vínculos empregatícios e planos de benefícios.

Pessoas cujos números do Seguro Social ou de passaporte estejam envolvidos correm maior risco de roubo de identidade. Quem tiver informações de contas financeiras envolvidas deve revisar regularmente as transações bancárias e os pagamentos. Pessoas cujas assinaturas digitais tenham sido afetadas devem ter cautela com formulários, documentos de autorização ou solicitações de alteração de conta emitidos em seu nome. Quem tiver número de telefone e data de nascimento envolvidos deve ter cuidado com ligações e mensagens que aleguem ser de empregadores, seguradoras, serviços de folha de pagamento ou aposentadoria, ou que tenham como pretexto a atualização de benefícios.

As pessoas que podem ter sido afetadas pelo vazamento de dados da Decisely em 2024 devem primeiro verificar quais tipos de dados constam da notificação recebida. Se houver um número do Seguro Social ou de passaporte, devem obter um relatório de crédito e considerar opções como o congelamento de crédito ou um alerta de fraude. Se houver informações de contas financeiras, devem acompanhar regularmente as transações bancárias, as instruções de pagamento automático e a abertura de novas contas. Se uma assinatura digital tiver sido afetada, também devem verificar alterações de conta e solicitações de autorização.

Pessoas cujos números de telefone e datas de nascimento sejam conhecidos não devem clicar em links inesperados enviados sob o pretexto de renovação de benefícios, formulários do empregador, correções na folha de pagamento, planos de aposentadoria ou proteção de identidade. Para comunicações legítimas, devem usar os canais oficiais indicados na notificação ou conhecidos por outros meios. Funcionários ou ex-funcionários devem esclarecer com o departamento de recursos humanos do empregador qual titular dos dados fez a notificação e qual plano foi afetado. Se houver riscos financeiros e de identidade ao mesmo tempo, as medidas devem ser tomadas em conjunto.

Neste incidente, a proteção deve ser de longo prazo, pois a mesma notificação pode incluir dados de identidade, passaporte, assinatura digital e contas financeiras. Alterar senhas pode ser útil para contas de benefícios ou folha de pagamento; no entanto, dados como números do Seguro Social, números de passaporte e assinaturas digitais são permanentes ou difíceis de alterar. Os usuários devem revisar seus relatórios de crédito periodicamente, ficar atentos ao risco de solicitações fraudulentas nos períodos de declaração de impostos e usar alertas para detectar rapidamente a abertura de novas contas.

Do lado dos empregadores e dos planos de benefícios, devem ser verificados com cuidado o período de adesão aos planos, as alterações na folha de pagamento, as contribuições para aposentadoria, as mudanças de conta bancária e as atualizações de informações de dependentes. Os usuários devem acessar o portal do empregador diretamente por um endereço conhecido e não devem considerar confiáveis os links de e-mails ou mensagens apenas por estarem nesses canais. Em incidentes que envolvem prestadores de serviços de back-end, como a Decisely, os usuários podem não reconhecer o nome da empresa; por isso, devem avaliar em conjunto o empregador, o detentor dos dados, a data e os tipos de dados mencionados na notificação.

A consulta de registros nesta página permite que você veja registros com dados de identidade, benefícios, finanças e informações de saúde protegidas que podem estar associados ao vazamento de dados da Decisely em 2024. Uma correspondência não significa que todos os tipos de dados listados tenham sido expostos para a mesma pessoa. Você deve se basear nos campos indicados em sua própria notificação e no vínculo com o empregador ou provedor de benefícios por meio do qual foi afetado.

Se a consulta identificar uma correspondência para você, priorize os riscos de uso indevido de dados permanentes e as situações difíceis de interromper. É importante verificar crédito e transações oficiais no caso de números do Seguro Social e passaportes; movimentações bancárias no caso de informações de contas financeiras; autorizações e formulários no caso de assinaturas digitais; e registros de programas de benefícios e saúde no caso de informações de saúde protegidas. O vazamento de dados da Decisely em 2024 é um incidente significativo de segurança de dados envolvendo terceiros e mostra que dados mantidos por provedores de benefícios e recursos humanos que atendem pequenas empresas podem gerar riscos individuais em grande escala.