Violação de dados da Restorix Health em 2024

O comunicado oficial da Restorix reúne, em um único evento, o período de acesso, as datas de descoberta e revisão, os tipos de informações divulgados e a resposta da organização. O registro do HHS OCR confirma a identidade da Restorix Health, sua atuação como parceiro comercial no setor de saúde, o ambiente de e-mail e o total atual de 38.553 pessoas.

Um resumo independente do evento que acompanha registros apresentados às autoridades estaduais também corrobora o período de acesso de 7 a 29 de maio, a etapa de revisão dos dados em 27 de novembro de 2024, a notificação aos parceiros do setor de saúde em 18 de dezembro e o início das notificações individuais em 14 de fevereiro de 2025. Os campos de dados divulgados variavam de pessoa para pessoa; o total de 38.553 não significa que todos os campos se aplicavam a todas as pessoas.

Um agente não autorizado acessou a conta de e-mail de um funcionário da Restorix entre 7 e 29 de maio. A Restorix afirma que tomou conhecimento do acesso por volta de 30 de maio, protegeu a conta e contratou especialistas para determinar a natureza e o alcance do incidente.

Uma investigação abrangente e uma revisão de documentos determinaram, em 27 de novembro, que a conta acessada continha informações pessoais ou informações de saúde protegidas relacionadas a pessoas vinculadas a parceiros do setor de saúde. As fontes públicas não informam como a conta foi comprometida, qual vulnerabilidade técnica foi explorada ou a identidade do agente responsável.

Dependendo da pessoa, as informações potencialmente afetadas incluíam nomes e sobrenomes, datas de nascimento, números de carteiras de habilitação, números de outros documentos de identificação emitidos pelo governo, números de passaportes e números de Seguro Social. O comunicado oficial também listava identificadores de pacientes e números de certificados ou licenças.

Os dados de saúde podem ter incluído informações médicas e de prescrições, datas de atendimento, condições de saúde, tratamentos ou diagnósticos e informações de seguro de saúde. Contas financeiras, cartões de pagamento, senhas e endereços de e-mail dos destinatários das notificações não são incluídos aqui porque não constam do comunicado oficial.

Números de identificação combinados com informações de pacientes e de saúde podem facilitar o roubo de identidade, fraudes no setor de saúde ou mensagens direcionadas convincentes. Números de Seguro Social, de passaportes e de documentos de identificação emitidos pelo governo não podem ser simplesmente alterados, por isso pode ser recomendável manter o monitoramento por um longo período.

Alguém com informações reais sobre um tratamento, uma prescrição, uma data de atendimento ou um seguro de saúde pode elaborar uma solicitação mais convincente, alegando representar a Restorix, um hospital, uma clínica ou uma seguradora. Ter esses detalhes não comprova autoridade, e solicitações inesperadas devem ser verificadas por um canal independente.

A Restorix protegeu a conta acessada, contratou especialistas externos em perícia digital e realizou uma revisão manual de documentos para identificar as informações envolvidas. Os parceiros do setor de saúde foram informados em 18 de dezembro de 2024, e o envio de notificações às pessoas com endereços postais disponíveis começou em 14 de fevereiro de 2025.

A organização afirma que implementou medidas adicionais de segurança cibernética, reforçou o treinamento dos funcionários e revisou suas políticas e procedimentos. O relato oficial não caracteriza o evento como ransomware, não identifica um agente específico nem relata casos conhecidos de uso indevido das informações divulgadas.

Se você recebeu uma notificação, verifique regularmente suas contas financeiras, seus relatórios de crédito e os demonstrativos do seu seguro de saúde para identificar contas, transações, serviços ou pedidos de cobertura que você não reconhece. Atividades suspeitas devem ser comunicadas à instituição financeira, ao prestador de serviços de saúde e à seguradora correspondentes, além das autoridades, quando apropriado.

Não compartilhe um número de Seguro Social, informações de pacientes, senhas ou códigos de verificação de uso único em resposta a um e-mail, uma mensagem ou uma ligação inesperada. Se uma solicitação alegar vir da Restorix ou de uma organização de saúde, verifique sua autenticidade usando os dados de contato do site oficial, em vez dos links ou números fornecidos na mensagem.