Violação de dados do ParkTree Community Health Center em 2024

A fonte primária é a carta aos consumidores de 21 de agosto de 2024, disponível no registro SB24-590522 da Procuradoria-Geral da Califórnia. Ela confirma a exposição de 7 de fevereiro, os campos afetados, as melhorias de segurança, a linha de atendimento e a exclusão de SSNs e dados de carteira de motorista. A assinatura identifica o prestador como Pomona Community Health Center dba ParkTree Community Health Center.

A segunda fonte é o registro oficial do HHS/OCR, datado de 21 de agosto de 2024, que informa 40.964 pessoas, prestador de serviços de saúde, incidente de invasão/IT e servidor de rede. O fonte pública sobre vazamentos de dados inclui um link para o documento apresentado na Califórnia, mas a manchete dessa fonte secundária sobre SSNs e seu relato de 1 de fevereiro contradizem a carta oficial; este registro dá prioridade ao documento regulatório primário.

Segundo a carta de notificação individual da ParkTree, dados pessoais de saúde podem ter sido expostos a uma pessoa desconhecida em 7 de fevereiro. O prestador afirmou que comunicou o evento às autoridades competentes, adotou medidas para reforçar a segurança da rede e reduzir o risco de recorrência, e revisa e atualiza suas políticas e seus procedimentos de segurança conforme necessário.

A carta pública não explica como a pessoa não autorizada conseguiu acesso inicialmente, qual conta ou vulnerabilidade foi usada, por quanto tempo o acesso durou ou se houve, de fato, download dos dados. Quantidades de pessoas, campos de dados e alegações de agentes de ameaça sem verificação não são considerados parte do escopo público do incidente.

Os principais campos, que variavam de pessoa para pessoa, eram nome e sobrenome, data de nascimento, informações de contato e gênero. “Informações de contato” aparece como uma categoria ampla na carta; este registro não presume que um endereço, número de telefone ou campo de e-mail específico tenha estado envolvido para todos os destinatários. A notificação recebida por cada pessoa define o escopo aplicável ao seu caso.

A carta oficial afirma expressamente que o evento não envolveu números de seguridade social nem de carteira de motorista. Por isso, a manchete de uma página secundária que alega exposição de SSNs não é usada para definir uma categoria de dados. Este registro exclui SSNs e documentos de identificação emitidos pelo governo; o material genérico sobre proteção de crédito anexado à carta não redefine o escopo real do incidente.

Os campos de saúde eram números de identificação de planos de saúde, números de prontuários e detalhes clínicos, como diagnósticos, medicamentos e anotações médicas. Esses dados podem revelar informações sobre tratamentos e cobertura de saúde, além de tornar mais convincentes mensagens que usem o nome de um paciente ou prestador. Este registro não presume que todos os tipos de dados clínicos tenham estado envolvidos para cada pessoa.

Se você recebeu uma notificação, pode verificar demonstrativos de benefícios, atividades no portal do paciente, serviços e medicamentos que não reconhece e comunicações do plano de saúde. Mesmo uma mensagem que cite um diagnóstico, medicamento ou anotação médica real não é automaticamente legítima. Verifique a mensagem usando um número conhecido da ParkTree ou um portal do paciente acessado diretamente, e não por meio da mensagem.

O número de 40.964 corresponde à população afetada informada ao HHS/OCR e é um total público verificado, que pode ser usado no lugar de zero ou de uma estimativa sem respaldo. A contagem de pessoas afetadas ou de registros publicada pela fonte oficial representa o escopo informado do incidente. Isso não significa que todas as categorias de dados divulgadas se apliquem a todas as pessoas.

As contagens de residentes nas notificações estaduais são subconjuntos da população afetada em todo o país e não devem ser somadas novamente. ParkTree e Pomona Community Health Center são apresentados em um único registro porque a notificação documenta a relação entre a razão social e o nome comercial (dba). A data do evento é 7 de fevereiro, conforme a carta oficial, e não 1 de fevereiro, como consta em um resumo secundário.

A ParkTree afirmou que comunicou o evento de segurança às autoridades competentes, reforçou a segurança da rede e atualizou políticas e procedimentos. A carta de 21 de agosto de 2024 informa o número 1-877-202-5507 para dúvidas, com atendimento em dias úteis, das 9:00 da manhã às 9:00 da noite, no horário do leste dos EUA; se você recebeu a notificação, confirme a disponibilidade atual por um canal oficial do prestador.

Se você foi afetado, pode monitorar as atividades do plano de saúde e da conta de paciente com base nos campos indicados na sua própria carta, comunicar serviços que não reconhece e verificar mensagens inesperadas por um canal independente. Não forneça uma senha, um número de plano de saúde ou um código de uso único, nem faça um pagamento, em uma comunicação que use o nome da ParkTree, do plano ou do médico; use um site ou número de telefone conhecido.