Violação de dados da Mid America Physician Services em 2024

O principal relato do incidente consta no Aviso de incidente de segurança de dados emitido em nome da MAPS em 15 de julho de 2025. O documento explica que a organização descobriu um evento na rede, conduziu uma investigação com especialistas externos em cibersegurança e, como resultado, identificou a exposição de determinadas informações de pacientes. O aviso também informa que as autoridades policiais foram comunicadas.

O registro do HHS OCR identifica a Mid America Physician Services como Prestador de serviços de saúde, classifica o evento como Incidente de invasão/TI e indica Servidor de rede como o local das informações; o total exato de pessoas afetadas é 104.513. O portal de segurança de dados da Procuradoria-Geral do Texas publica categorias de dados de identidade e financeiros relacionadas ao evento. A identidade da empresa também é comprovada pelo site oficial da Johnson County OB/GYN, que se apresenta como uma divisão da Mid America Physician Services LLC e exibe o logotipo oficial da MAPS.

A MAPS descobriu um incidente de rede que afetava seus sistemas de tecnologia da informação em 14 de novembro de 2024 ou em data próxima. A organização contratou imediatamente especialistas externos em cibersegurança para avaliar, conter e remediar o evento. A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas.

A análise dos arquivos foi concluída por volta de 8 de maio de 2025 e identificou os tipos de informações de pacientes expostas. A empresa publicou seu aviso público em 15 de julho, explicando que as pessoas potencialmente afetadas estavam sendo notificadas e recebendo recursos de proteção. A data de 13 de janeiro de 2025 no registro do HHS corresponde à comunicação ao órgão federal e não é considerada o início do incidente.

A lista geral confirmada no aviso da MAPS inclui nomes, endereços, datas de nascimento, informações sobre tratamentos médicos, informações de faturamento e informações de seguro-saúde. O registro do órgão regulador do Texas acrescenta números do Seguro Social e informações financeiras. Números de pessoas, campos de dados e alegações de agentes de ameaça sem verificação não são considerados parte do escopo público do incidente.

A organização não afirmou que todos os pacientes tiveram a mesma combinação de dados afetada. Informações sobre tratamentos e seguros podem possibilitar o uso indevido de identidade médica, enquanto números do Seguro Social e informações financeiras podem facilitar fraudes de identidade ou em contas. Este registro mantém a conclusão das fontes sobre a exposição, sem afirmar que os arquivos foram divulgados publicamente, vendidos ou obtidos por algum grupo de ameaça identificado.

O número de pessoas afetadas ou de registros publicado pela fonte oficial representa o alcance informado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. Esse número representa os indivíduos abrangidos pelas notificações, não a quantidade de arquivos, linhas ou campos expostos. Uma pessoa pode ter vários elementos de dados envolvidos, enquanto outra pode ter apenas parte da lista publicada.

A Mid America Physician Services opera por meio de quatro divisões clínicas: Johnson County OB/GYN, Women's Care, Women's Clinic of Johnson County e Women's Health Associates. Como essas marcas fazem parte do mesmo evento da MAPS, não são criados registros de violação de dados separados para elas. O mecanismo de prevenção de duplicatas abrange todos os nomes, de modo que buscas por qualquer uma das clínicas levem a um único incidente verificado.

Depois de identificar o evento, a empresa trabalhou com especialistas externos na avaliação, contenção e remediação e notificou as autoridades policiais. A MAPS afirmou ter adotado medidas adicionais para reduzir a probabilidade de um evento semelhante, mas não publicou os detalhes técnicos desses controles. O LeakData não inventa medidas de segurança que não foram divulgadas.

Até a emissão do aviso, a investigação não havia identificado nenhuma fraude ou roubo de identidade decorrente do incidente. Essa conclusão descreve a situação conhecida no momento da notificação e não garante que dados sensíveis de identidade, saúde ou finanças jamais serão usados indevidamente. A empresa afirmou que estava oferecendo recursos de proteção às pessoas afetadas e dando continuidade ao seu trabalho de segurança da informação.

Se você recebeu uma notificação, baseie-se nos campos de dados identificados na sua carta individual e verifique regularmente seus relatórios de crédito, contas bancárias, faturas e demonstrativos de benefícios do seguro-saúde. Se você encontrar um serviço médico, tratamento, pedido de cobertura de seguro ou cobrança que não reconheça, entre em contato com o prestador de serviços de saúde e a seguradora pelos canais oficiais que você já conhecia.

Se o seu número do Seguro Social ou suas informações financeiras estiverem entre os dados afetados, você pode considerar alertas de fraude e bloqueios de crédito gratuitos. Não abra diretamente links recebidos em ligações, e-mails ou solicitações de pagamento inesperadas que usem os nomes da MAPS ou de suas clínicas afiliadas.