Vazamento de dados de HealthEquity 2024
O vazamento de dados da HealthEquity em 2024 envolveu uma conta comprometida de um parceiro comercial, usada para acessar um armazenamento on-line de dados não estruturados fora dos sistemas principais.
O total de afetados não foi confirmado, então não é possível determinar a gravidade apenas pela quantidade de registros.
Tipos de dados expostos
1 sensíveis8- Payment card information excluding payment-card numbers and HealthEquity debit-card information
- Nomes
- Endereços físicos
- Números de telefone
- Employee IDs
- Informações sobre empregadores
- Números de seguridade social
- Dependents’ general contact information
Sobre este vazamento
Um documento apresentado ao órgão regulador registra 9 de março de 2024 como a data conhecida do vazamento. A HealthEquity recebeu um alerta de anomalia em 25 de março, a análise forense prosseguiu até 10 de junho e, em 26 de junho, a empresa confirmou que informações associadas a alguns destinatários estavam envolvidas.
Segundo o documento apresentado à SEC, foi observado um comportamento anômalo no dispositivo de uso pessoal do parceiro, uma parte não autorizada usou a conta do parceiro para acessar informações e algumas informações foram transferidas para fora dos sistemas do parceiro. Não foi identificado código malicioso nem interrupção de serviço nos sistemas da HealthEquity. A empresa afirmou que desativou contas e sessões, bloqueou endereços IP e exigiu uma redefinição de senhas em toda a empresa fornecedora.
O total de aproximadamente 4,3 milhões de pessoas potencialmente afetadas corresponde à população abrangida pelas notificações, não a contas, registros locais, e-mails ou senhas. O principal exemplo de notificação lista nomes, endereços, telefones, identificadores de funcionários, empregadores, números de Seguro Social, informações gerais de contato dos dependentes e algumas informações sobre cartões de pagamento, excluindo os números desses cartões e as informações sobre cartões de débito da HealthEquity. Os campos variavam conforme o destinatário; diagnósticos, prescrições, tipos de serviço e números de planos de saúde exigem evidências separadas em notificações específicas de cada cliente.
Não existe localmente um conjunto de dados em nível individual. O evento não vincula ninguém a uma conta da HealthEquity ou da WageWorks, à condição de funcionário, membro ou dependente, a um empregador específico, a uma condição de saúde ou a informações de pagamento. Os dados de Seguro Social, de dependentes, de empregadores, de saúde e de pagamento devem permanecer privados, e apenas os destinatários diretos devem se basear nos campos e nos termos de serviço de suas próprias notificações.
Verificação e método editorial
A LeakData compara o nome do incidente, a data, a quantidade de registros afetados e os tipos de dados expostos com fontes acessíveis. Campos não verificados não são apresentados como fatos, e os registros são atualizados quando novas evidências ficam disponíveis.
Informar dados ausentes ou incorretos
