Violação de dados da Excelsior Orthopaedics em 2024

A fonte principal é a notificação retificada no portal oficial da Procuradoria-Geral do Maine. A carta vinculada a ela documenta a descoberta em 23 de junho, as conclusões iniciais da investigação forense, o alcance entre pacientes e funcionários, as etapas de envio das notificações e a resposta da organização. O registro retificado posteriormente eleva o total geral informado antes para 394.752 pessoas.

A segunda fonte é o portal oficial de violações de dados do Escritório de Direitos Civis do HHS, no qual a entrada da Excelsior Orthopaedics registra 292.913 pessoas afetadas por um incidente de invasão/TI em servidor de rede em 21 de agosto de 2024. A fonte pública sobre vazamentos de dados cruza de forma independente o registro retificado do Maine com as notificações estaduais de setembro de 2025, documentando o total geral atual e as categorias de dados expostos.

A Excelsior identificou atividade incomum em sua rede em 23 de junho. A prestadora interrompeu o acesso externo à rede, isolou os equipamentos suspeitos, alterou as credenciais de usuários e administradores e contratou uma empresa especializada em cibersegurança para conduzir uma investigação forense. Os resultados iniciais mostraram que dados de pacientes atuais e antigos, além de funcionários e ex-funcionários, haviam sido comprometidos.

Em seguida, a Excelsior trabalhou com especialistas externos em revisão de dados para vincular os arquivos comprometidos às pessoas correspondentes. Um pequeno grupo inicial recebeu notificações em agosto de 2024; após a conclusão da maior parte da mineração de dados em dezembro, uma segunda remessa de cartas foi enviada em 31 de dezembro. Os registros públicos não identificam o método de acesso inicial, a vulnerabilidade explorada nem o responsável pelo ataque.

Os principais campos, que variavam de pessoa para pessoa, eram nomes completos, endereços, datas de nascimento, números do Seguro Social, números de carteiras de motorista ou números de documentos de identificação para quem não possui carteira de motorista. Informações biométricas também foram listadas no modelo de notificação aos funcionários. O registro não pressupõe que todos os destinatários tiveram todos esses campos envolvidos; a notificação recebida por cada pessoa define o alcance no caso dela.

Um SSN combinado com uma data de nascimento e um número de documento de identificação emitido pelo governo pode aumentar o risco de fraude na abertura de novas contas, uso indevido de identidade ou phishing convincente. “Informações biométricas” aparece como uma categoria ampla no modelo oficial.

Os campos potencialmente envolvidos para pacientes eram números de prontuários médicos, diagnósticos e códigos de diagnóstico, locais de atendimento, tipos de procedimentos, nomes de prestadores, custos de tratamento e datas de atendimento. Também foram listadas informações de seguro de saúde, números de titulares ou beneficiários e números de contas de pacientes. Esses campos podem tornar mais convincentes os golpes relacionados a atendimento de saúde, cobranças e benefícios.

Se você recebeu uma notificação, pode conferir os demonstrativos de benefícios, a atividade no portal do paciente, os serviços que não reconhece, as tentativas inesperadas de cobrança e as mensagens de prestadores. Uma comunicação não é confiável só porque inclui um diagnóstico real, uma data de atendimento ou o nome de um prestador. Verifique sua autenticidade por um canal independente, usando um número de telefone conhecido do prestador ou o portal do paciente que você já utiliza.

O número de 394.752 é o total nacional mais recente no registro retificado da Procuradoria-Geral do Maine. O total de 357.000 divulgado anteriormente e o número de 292.913 do HHS refletem revisões e escopos de notificação concluídos em momentos diferentes; eles não devem ser somados.

A carta oficial do Maine informou, em janeiro de 2025, que o trabalho de identificação das pessoas afetadas ainda estava em andamento, e o registro retificado posteriormente aumentou esse total. Os subtotais de residentes de cada estado não são somados ao total nacional, evitando a contagem em duplicidade.

A Excelsior conteve o incidente na rede, alterou credenciais e informou ter implementado novas ferramentas de segurança, reformulado sistemas essenciais e processos de negócio e reforçado a conscientização sobre segurança e os alertas. A organização comunicou o incidente ao FBI. O modelo de notificação do Maine ofereceu às pessoas afetadas 12 meses gratuitos de monitoramento de crédito e assistência para recuperação em caso de roubo de identidade por meio da CyberScout.

Se você recebeu uma notificação, confirme o prazo de adesão na sua própria carta e considere um congelamento de crédito, um alerta de fraude e o monitoramento da abertura de novas contas caso um SSN ou número de identificação tenha sido envolvido. Para dados de saúde, revise os demonstrativos de benefícios e as contas de paciente. Não forneça senha, SSN completo ou código de uso único, nem faça pagamentos, em resposta a uma mensagem inesperada que use o nome da Excelsior. Se surgir uma mensagem suspeita ou uma atividade suspeita na conta, verifique sua autenticidade pelo canal oficial de contato atual da organização, sem usar os links da mensagem.