Violação de dados da Rocky Mountain Gastroenterology (366.491 pessoas)

A organização identificou uma atividade suspeita em sua rede em 13 de setembro de 2024 e iniciou uma investigação para determinar a abrangência do incidente. A análise constatou que um invasor havia obtido acesso não autorizado a determinados arquivos e pode tê-los copiado.

As fontes públicas não informam a data exata do acesso inicial, por quanto tempo o invasor permaneceu na rede nem o método utilizado. Portanto, 13 de setembro é a data de detecção, e não uma data apontada como o início da invasão. A identidade do invasor e qualquer vulnerabilidade explorada também não foram confirmadas.

As informações variavam de pessoa para pessoa. As categorias divulgadas incluíam nomes, endereços, datas de nascimento, números de conta dos pacientes, números de prontuários médicos, números de Seguro Social e números de identificação do seguro de saúde.

Informações sobre diagnósticos e tratamentos também podem ter constado nos arquivos afetados. Nem todas as categorias se aplicavam a todos os pacientes. Por isso, se você recebeu uma notificação, deve se orientar pelos campos identificados nela.

A lista ativa de violações mantida pelo Escritório de Direitos Civis do Departamento de Saúde e Serviços Humanos dos Estados Unidos informa que 366.491 pessoas foram afetadas. O HHS classifica o evento como uma invasão ou um incidente de TI envolvendo o servidor de rede de um prestador de serviços de saúde.

Registros judiciais posteriores também vinculam um grupo de aproximadamente 366.491 pessoas ao mesmo incidente de setembro de 2024. Esse é o total informado de pessoas afetadas; descrições sobrepostas da mesma abrangência não foram somadas.

Números de Seguro Social combinados com datas de nascimento e endereços podem facilitar o roubo de identidade ou solicitações fraudulentas de abertura de contas. Identificadores de pacientes e de seguros podem gerar riscos de solicitações fraudulentas de cobertura de serviços de saúde ou de uso indevido da identidade de pacientes.

Detalhes sobre diagnósticos e tratamentos também representam um risco significativo à privacidade. Um invasor pode se passar por um prestador de serviços de saúde ou uma seguradora e usar detalhes específicos sobre uma pessoa para tornar uma mensagem mais convincente. Por isso, você deve verificar solicitações inesperadas por um canal de contato independente.

A organização afirmou que implementou medidas de proteção adicionais e começou a enviar cartas de notificação individuais pelo correio em 13 de novembro de 2024. Uma ação coletiva posterior terminou em um acordo, sem que as partes admitissem responsabilidade.

Se você recebeu uma notificação, pode acompanhar seus relatórios de crédito e contas financeiras em busca de atividades desconhecidas e considerar um congelamento de crédito ou um alerta de fraude caso seu número de Seguro Social esteja envolvido. Você deve comunicar transações suspeitas diretamente à instituição correspondente.

Verifique os demonstrativos do seguro de saúde, os portais de pacientes e as cobranças médicas para identificar serviços que você não recebeu. Antes de abrir links ou compartilhar informações pessoais em uma mensagem que alegue ser da organização ou de uma seguradora, confirme o canal de contato de forma independente pelo site oficial.