Violação de dados da Health Payment Systems em 2025

O comunicado oficial de segurança da HPS apresenta a cronologia do incidente, o ambiente afetado, os possíveis campos de dados envolvidos e a resposta da empresa. Segundo o comunicado, algumas informações de pacientes podem ter sido acessadas ou obtidas por uma pessoa desconhecida e não autorizada.

O registro do HHS OCR identifica a mesma organização como parceira de negócios, informa o total de 9.380 pessoas e classifica o evento como um incidente de invasão/tecnologia da informação (IT) envolvendo e-mail. Esse número corresponde ao total de pessoas afetadas; ele não indica quais campos estavam presentes nos dados de cada pessoa.

A HPS tomou conhecimento de atividades suspeitas relacionadas a determinadas contas de e-mail de funcionários em 27 de junho de 2025 ou por volta dessa data e tomou medidas para protegê-las. Em seguida, a empresa investigou a natureza e a abrangência do evento com especialistas externos em segurança cibernética.

A investigação determinou que uma pessoa desconhecida acessou determinados e-mails aproximadamente entre 24 e 27 de junho. Assim, a data no catálogo representa o início aproximado do período de acesso; o comunicado não informa o horário exato, o método utilizado nem a identidade da pessoa responsável.

O comunicado oficial lista nomes, endereços, datas de nascimento, IDs, IDs de assinatura e IDs pessoais de assinantes. No caso de algumas pessoas, as informações também podem ter incluído números de Seguro Social, informações médicas e informações de seguro-saúde.

Os campos variavam de pessoa para pessoa. Embora o incidente tenha envolvido contas de e-mail de funcionários, o comunicado não lista separadamente os endereços de e-mail nem as senhas de contas das pessoas afetadas entre os campos expostos. Por isso, essas categorias não foram acrescentadas.

Nome, endereço, data de nascimento e número de Seguro Social podem ser combinados para facilitar roubo de identidade, abertura fraudulenta de contas ou fraudes fiscais e de crédito. Números de identificação e de assinante também podem ser usados para dar credibilidade a mensagens direcionadas.

Informações médicas e de seguro-saúde podem ser usadas indevidamente em solicitações falsas de cobertura de serviços, fraudes de seguros ou mensagens que se passam por comunicações de uma organização de saúde. Um dado correto sobre o assinante ou sua saúde não comprova a legitimidade de quem liga ou envia uma mensagem.

A empresa afirma que protegeu as contas envolvidas, implantou uma ferramenta avançada de proteção contra ameaças e monitoramento, revisou as políticas de segurança existentes e implementou medidas adicionais. Também comunicou o evento às autoridades policiais e aos órgãos reguladores aos quais era obrigada a comunicá-lo.

A HPS afirmou que enviaria notificações pelo correio às pessoas cujos endereços conseguisse identificar e ofereceria monitoramento de crédito e proteção contra roubo de identidade gratuitos. As condições de elegibilidade e as datas de inscrição devem ser conferidas na notificação recebida diretamente.

Se você recebeu uma notificação, revise a movimentação de suas contas financeiras, seus relatórios de crédito e os demonstrativos de benefícios do seguro-saúde para identificar contas, transações ou serviços que não reconhece. Comunique registros suspeitos ao banco, plano de saúde ou prestador correspondente por canais verificados de forma independente.

Não forneça número de Seguro Social, informações de seguro, senha ou código de verificação em resposta a uma ligação ou mensagem inesperada. Se você foi informado de que seu número de Seguro Social estava envolvido, também pode considerar solicitar gratuitamente um bloqueio de crédito ou um alerta de fraude.