Vazamento de dados do Longhorn Imaging Center (2023)

Na avaliação de verificação, foram considerados em conjunto o nome Longhorn Imaging Center, o domínio longhornimaging.com, o contexto dos serviços de saúde no Texas, a ocorrência do evento em junho de 2023, a notificação oficial referente a 100.643 pessoas e os campos de dados de saúde que poderiam ter sido acessados pelo portal do paciente. Embora alguns diretórios de vazamentos tenham alegado a existência de aproximadamente 272.000 linhas de registros, esse número não foi usado diretamente como a quantidade de pessoas distintas afetadas. Para o total de pessoas afetadas, foi adotado o valor mais conservador de 100.643, próximo ao informado na notificação oficial. A explicação foi limitada para evitar confundir o volume total de registros com o número de pessoas afetadas.

O vazamento de dados do Longhorn Imaging Center gera riscos para os usuários relacionados à privacidade de informações de saúde, à autenticação e a fraudes direcionadas. Ao combinar nome, data de nascimento, gênero, endereço e contexto de atendimento de saúde, criminosos podem elaborar mensagens sobre consultas, resultados de exames de imagem, verificação de seguro, cobrança, atualizações do portal do paciente ou compartilhamento de documentos. Como os usuários de serviços de saúde já esperam receber notificações sobre consultas e documentos, essas mensagens podem parecer mais convincentes. Por isso, o incidente deve ser avaliado não apenas como um risco associado a dados de contato, mas também como um risco à privacidade de informações de saúde e de engenharia social.

Neste incidente, as categorias de dados visíveis são consideradas sensíveis porque o contexto de saúde pode fornecer informações indiretas sobre o tratamento de uma pessoa, seu vínculo com uma instituição ou os processos relacionados ao seu seguro. O registro não foi ampliado para sugerir que continha informações sobre doenças específicas, resultados de exames de imagem ou conteúdo clínico detalhado. No entanto, a simples presença de campos de informações de saúde e de seguro já fornece contexto suficiente para phishing e fraude. Você não deve confiar automaticamente em quem liga e sabe seu nome correto, sua data de nascimento, seu endereço ou informações sobre a instituição de saúde que atende você. Verifique cada solicitação por um canal independente.

Pessoas que possam ter vínculo com o Longhorn Imaging Center devem verificar se há notificações incomuns em portais de pacientes, no e-mail e em contas de seguro e financeiras. Cobranças inesperadas, atualizações de seguro, confirmações de consultas, resultados de exames de imagem, downloads de documentos ou links para redefinir a senha do portal do paciente devem ser verificados diretamente pelos canais oficiais conhecidos. Você não deve compartilhar códigos de uso único, documentos de identificação, informações de pagamento ou números de seguro em resposta a solicitações recebidas por telefone. Diante de mensagens que pareçam vir de um prestador de serviços de saúde, use o endereço ou o telefone conhecido da instituição, em vez dos links da mensagem.

Do ponto de vista das instituições, o vazamento de dados do Longhorn Imaging Center evidencia a necessidade de controles adicionais no acesso ao portal do paciente e a tecnologias de saúde de terceiros. Quando campos como nome do paciente, data de nascimento, endereço e informações de seguro são considerados comprometidos, não é seguro verificar a identidade apenas com esses dados. As instituições de saúde devem implementar autenticação multifator, monitoramento de sessões e auditoria de comportamentos suspeitos em processos como acesso ao portal, download de documentos, pagamento de cobranças, verificação de seguro e alterações nas informações de contato do paciente. Os funcionários devem ser informados de que mensagens de engenharia social relacionadas à saúde podem ser altamente persuasivas.

No registro do vazamento de dados do Longhorn Imaging Center, o escopo foi deliberadamente limitado aos aspectos com respaldo. O registro foi mantido com o total de 100.643 pessoas afetadas; contagens de linhas mais altas encontradas em diferentes locais não foram registradas como número de usuários. O registro não foi ampliado para sugerir que continha dados de cartões de pagamento, contas bancárias, senhas ou números de seguridade social. Ainda assim, a combinação de nome e sobrenome, data de nascimento, endereço, informações de saúde e informações de seguro é altamente sensível. Mesmo um pequeno volume de registros de dados de saúde pode ter consequências mais graves do que grandes listas de contatos.

O nível geral de risco foi avaliado como crítico porque o vazamento de dados do Longhorn Imaging Center combina vínculos com serviços de saúde e informações de identidade e de seguro. As medidas mais práticas para quem busca informações sobre o vazamento de dados do Longhorn Imaging Center são verificar diretamente o portal oficial do paciente, confirmar por meios independentes mensagens inesperadas sobre saúde e seguro, ativar uma verificação adicional na conta de e-mail, tratar com cautela links que solicitem pagamento ou documentos e não considerar confiáveis buscas que comecem com informações de saúde. Este aviso foi elaborado para informar sobre a privacidade de informações de saúde sem exagerar nem minimizar o risco.

Na comparação adicional entre fontes, o campo de gênero do paciente foi incluído novamente nas categorias de dados, pois também tem respaldo no contexto dos registros de saúde. Detalhes como data do tratamento, nome da instituição ou nome do médico não foram desdobrados em categorias separadas; foram avaliados como parte dos dados pessoais de saúde que explicam o contexto do serviço de saúde. Dessa forma, o registro mantém o número de pessoas afetadas respaldado pelas notificações oficiais e apresenta com mais precisão o escopo dos campos de dados vazados, sem induzir você ao erro.