Vazamento de dados da Harbin Clinic / NRS em 2024

O aviso oficial aos consumidores emitido em nome da Harbin Clinic descreve o papel da NRS, o período de acesso, a cópia de arquivos, os possíveis campos de dados envolvidos e as medidas adotadas. Segundo o aviso, a Harbin utilizava a NRS para contas em atraso e também para assuntos relacionados a falências, ações judiciais e espólios de pacientes.

O Escritório de Direitos Civis do Departamento de Saúde e Serviços Humanos dos Estados Unidos lista a Harbin Clinic em um incidente de invasão/tecnologia da informação (IT) envolvendo um servidor de rede e 176.149 pessoas. O documento regulatório apresentado no Maine informa que 210.140 pessoas foram notificadas em todo o país, portanto os dois totais não são tratados como contagens duplicadas de um mesmo universo.

A NRS detectou atividade suspeita em seus sistemas de tecnologia da informação em julho de 2024, após uma interrupção na rede. Uma investigação forense constatou que o acesso não autorizado começou em 5 de julho e continuou até 11 de julho, período em que determinados arquivos e pastas foram copiados.

A NRS continuou analisando os arquivos e informou à Harbin Clinic, em fevereiro de 2025, que informações de pacientes poderiam estar presentes nos sistemas afetados. A Harbin recebeu uma lista das pessoas afetadas em março de 2025 e começou a enviar avisos pelo correio em 16 de maio de 2025.

Os campos variavam de pessoa para pessoa e podem ter incluído nomes, endereços, números de Seguro Social, datas de nascimento, dados de contas financeiras e informações médicas. O material da NRS pode ter se referido a pacientes encaminhados para cobrança, garantidores de contas e pessoas envolvidas em determinadas questões jurídicas.

Não se deve presumir que a lista completa de categorias se aplique a todas as 210.140 pessoas. Endereços de e-mail, senhas e números de cartões de pagamento não foram incluídos porque as fontes analisadas não confirmam esses campos.

O documento de notificação aos consumidores apresentado no Maine identifica 210.140 pessoas em todo o país como afetadas pelo incidente. Esse é o total confirmado mais abrangente associado às notificações sobre informações pessoais enviadas em diferentes estados.

O número de 176.149 informado pelo HHS OCR abrange as pessoas reportadas segundo as normas federais de privacidade de dados de saúde. Como os dois registros oficiais medem escopos regulatórios diferentes, a diferença não deve ser interpretada como uma contagem de arquivos ou de campos de dados individuais.

A NRS informou que protegeu seus sistemas, notificou as autoridades policiais, acrescentou medidas de cibersegurança e revisou as políticas existentes. A Harbin Clinic bloqueou o acesso da NRS aos seus sistemas até que a ameaça fosse eliminada e verificou sua própria rede em busca de indicadores de comprometimento.

O aviso informou que, no momento de sua emissão, não havia evidências de roubo de identidade ou fraude relacionados ao incidente. Foram oferecidos 24 meses de monitoramento de identidade aos destinatários elegíveis; nenhuma dessas informações garante que não possa ocorrer uso indevido no futuro.

Se você recebeu o aviso, revise regularmente suas contas bancárias e de crédito para identificar transações desconhecidas ou novas contas, consulte seus relatórios de crédito e considere solicitar um bloqueio gratuito de crédito ou um alerta de fraude, quando apropriado. Mudanças inesperadas em prontuários ou cobranças médicas devem ser verificadas diretamente com o prestador de serviços de saúde.

Não compartilhe seu número de Seguro Social, dados de conta, senha ou código de verificação em resposta a uma ligação ou mensagem inesperada de alguém que afirme representar a Harbin Clinic ou a NRS. Antes de seguir um link ou enviar documentos, confirme de forma independente os dados de contato que constam no aviso oficial.