Violação de dados da OSC Connecticut em 2025

O comunicado oficial arquivado da Orthopaedic Specialists of Connecticut relaciona o acesso à rede em 2 de março, a resposta iniciada naquele dia e os campos de dados divulgados como partes de um único incidente. O registro do HHS OCR confirma a instituição de saúde de Connecticut, a data da notificação às autoridades em 23 de abril de 2025 e o total de 22.541 pessoas.

Um resumo independente do incidente corrobora a mesma organização, a data do ocorrido, o número de pessoas e as categorias de dados. A data do acesso inicial, a conclusão da avaliação do alcance do incidente em abril e o comunicado aos consumidores de 23 de abril representam etapas distintas e não são tratadas como uma única data de publicação.

Uma parte não autorizada obteve acesso ao ambiente de rede da OSC em 2 de março. Após detectar o incidente, a organização protegeu a rede e contratou uma empresa especializada em investigação forense e resposta a incidentes para investigar o alcance da atividade não autorizada.

A investigação concluiu que o invasor pode ter obtido determinados dados. O comunicado público não revela o método de acesso inicial, a vulnerabilidade técnica explorada nem por quanto tempo o acesso se manteve naquele dia. Por isso, este registro não apresenta nenhum método de ataque não confirmado.

Dependendo da pessoa, as informações potencialmente afetadas incluíam nomes e sobrenomes, datas de nascimento, números de Seguro Social, números de identificação do seguro-saúde e informações médicas. O comunicado oficial lista expressamente esses campos como potencialmente expostos.

A organização informa que a combinação de campos afetados variava de uma pessoa para outra. Endereços de e-mail, senhas, endereços físicos, cartões de pagamento e contas financeiras não estão incluídos porque o comunicado oficial sobre o incidente não confirma essas categorias.

Números de Seguro Social expostos junto com dados de seguro-saúde e informações médicas podem aumentar o risco de roubo de identidade, solicitações fraudulentas de cobertura de serviços de saúde ou fraudes em seguros. Alguns desses identificadores são difíceis de alterar, o que torna adequado o monitoramento de longo prazo.

Alguém que conheça um detalhe real sobre um tratamento ou seguro pode criar uma mensagem mais convincente, alegando representar a OSC, um médico ou uma seguradora. Ter esses dados não comprova legitimidade, e solicitações inesperadas devem ser verificadas por um canal independente.

A OSC protegeu sua rede, trabalhou com especialistas externos em investigação forense e informou ter revisado e reforçado suas medidas técnicas de proteção. Após concluir a avaliação do alcance do incidente, a organização enviou comunicados por escrito às pessoas cujas informações podem ter sido afetadas.

A organização ofereceu às pessoas elegíveis 12 meses gratuitos de monitoramento de crédito e proteção contra roubo de identidade. O comunicado de 23 de abril informou que a organização não havia recebido relatos de uso indevido ou de roubo de identidade relacionado ao incidente; essa declaração não garante que não haverá uso indevido posteriormente.

Se você recebeu o comunicado, revise regularmente seus relatórios de crédito, suas contas financeiras e os demonstrativos do seguro-saúde em busca de contas, transações, serviços ou solicitações de cobertura que não reconheça. Registros suspeitos devem ser comunicados à instituição financeira, ao prestador de serviços de saúde ou à seguradora correspondente.

Não compartilhe seu número de Seguro Social, informações de saúde, senha ou código de verificação de uso único em resposta a um e-mail, uma mensagem ou uma ligação inesperada. Se uma solicitação alegar vir da OSC, verifique sua autenticidade usando os dados de contato do site oficial da organização, em vez dos links ou números presentes na mensagem.