Vazamento de dados de Summit Pathology 2024

No incidente da Summit Pathology, a lista de tipos de dados mencionados no comunicado é extensa. Os sistemas afetados podem conter nomes e sobrenomes, endereços, datas de nascimento, números de Seguro Social, informações financeiras, informações de seguro de saúde, informações de faturamento médico e determinadas informações médicas. As informações médicas podem incluir registros relacionados a serviços de patologia, como informações de diagnóstico. A presença de informações demográficas junto com informações financeiras e de seguro de saúde no mesmo conjunto de arquivos indica que o incidente não pode ser considerado apenas um vazamento de dados de contato.

Essa combinação de dados gera riscos em várias camadas. Números de Seguro Social e datas de nascimento continuam sendo úteis ao longo do tempo para roubo de identidade, solicitações de crédito, fraudes fiscais e uso indevido de processos de recuperação de contas. Informações de seguro de saúde e de faturamento podem ser usadas para criar cobranças médicas falsas, cometer fraudes em seguros e se passar pelo titular de uma conta de paciente. Registros que contêm informações de diagnóstico ou de serviços médicos podem comprometer a privacidade de uma pessoa em relação à sua saúde e tornar mais convincentes as mensagens direcionadas de engenharia social. Por isso, as pessoas afetadas precisam monitorar não apenas suas contas de crédito, mas também as movimentações relacionadas ao seguro de saúde e ao faturamento de serviços recebidos como pacientes.

A data verificada para o início e a detecção do incidente é por volta de 18 de abril de 2024. O comunicado informa que a empresa protegeu sua rede após perceber atividades suspeitas, trabalhou com especialistas na investigação e que alguns arquivos podem ter sido acessados ou obtidos por uma parte não autorizada. A data de notificação consta como 18 de outubro de 2024; ela indica quando o incidente foi comunicado aos usuários. No registro de vazamentos de dados de saúde, constam 1.813.538 pessoas para Summit Pathology e Summit Pathology Laboratories, Inc., na categoria de servidor de rede e incidente de invasão/IT.

Neste registro, os campos de dados foram adicionados conforme a lista explícita da carta de notificação. Como informações financeiras e número de Seguro Social são mencionados expressamente no comunicado, esses campos foram incluídos. Por outro lado, senha de conta de usuário, número de cartão, número de passaporte e detalhes do sistema de prontuário eletrônico não foram adicionados às categorias de dados, pois não estão explicitamente listados no comunicado oficial. Não se presumiu que os arquivos contenham de fato os mesmos campos para todas as pessoas, já que o comunicado indica que os tipos de dados podem variar conforme o indivíduo.

O principal grupo em risco é formado por pacientes que recebem serviços de patologia da Summit Pathology e por pessoas cujas informações estão nos sistemas laboratoriais para a realização desses serviços. A empresa afirma que presta serviços de patologia a prestadores de assistência médica e que a pessoa que recebeu o comunicado pode ter sido afetada pelos serviços da Summit por intermédio de seu prestador de saúde. Portanto, mesmo que você não se lembre de ter entrado em contato diretamente com a Summit, seus registros podem estar incluídos no escopo do incidente caso seu médico ou estabelecimento de saúde tenha utilizado a Summit para serviços de patologia.

Como os dados de pacientes são especialmente sensíveis, o risco não se limita a fraudes financeiras. Quando informações de diagnóstico, registros de faturamento, dados de seguros e informações de identidade são usados em conjunto, é possível preparar cobranças laboratoriais falsas, ligações de verificação de seguro, tentativas de se passar por prestadores de saúde ou mensagens personalizadas de phishing. Para quem tem um número de Seguro Social, o risco é de longo prazo; para quem teve informações financeiras ou registros de faturamento envolvidos, também é necessário monitorar a movimentação das contas e os pagamentos de serviços de saúde.

Se você recebeu a notificação, o primeiro passo é verificar na carta quais tipos de dados vinculados a você podem ter sido afetados. Se um número de Seguro Social ou informações financeiras tiverem sido afetados, o congelamento de crédito, os alertas de fraude e a análise dos relatórios de crédito são medidas prioritárias. No caso de informações de seguro de saúde e de faturamento, verifique regularmente os demonstrativos do seguro, as contas de paciente e as cobranças laboratoriais inesperadas. Se você receber uma mensagem suspeita relacionada a serviços médicos ou informações de diagnóstico, ligue diretamente para o prestador de saúde em vez de clicar no link.

Se você recebeu acesso a serviços de proteção de identidade, conclua o cadastro apenas pelas instruções oficiais da notificação. Defina senhas exclusivas para portais de pacientes, contas de e-mail e sistemas de faturamento que estejam usando a mesma senha, ative a autenticação multifator e encerre sessões antigas. Como informações que não podem ser alteradas, como números de Seguro Social, podem ter vazado, trocar a senha uma única vez não é suficiente. Monitore em conjunto as atividades relacionadas a crédito, impostos, seguros e serviços de saúde.

O incidente da Summit Pathology demonstra como o risco envolvendo dados de saúde em terceiros pode alcançar grandes proporções quando laboratórios e prestadores de serviços de patologia lidam com arquivos sensíveis em nome de diversas organizações de saúde. Um paciente pode não conhecer diretamente o laboratório responsável; ainda assim, seus dados podem estar nesses sistemas devido a processos de exames, diagnóstico ou faturamento. Por isso, os pacientes devem ficar atentos não apenas ao portal de seu próprio médico, mas também às notificações dos laboratórios e prestadores de serviços de faturamento que utilizam.

Para as instituições, uma estratégia de longo prazo consiste em reduzir as permissões de acesso a arquivos, não manter dados antigos sem necessidade, armazenar dados de faturamento médico em camadas separadas de proteção e implementar registros de auditoria que permitam detectar precocemente movimentações incomuns de arquivos. Quando grandes conjuntos de arquivos contêm dados de identidade, saúde e faturamento, o impacto do incidente se multiplica. Por isso, após um incidente, é preciso reavaliar não apenas a limpeza dos sistemas, mas também as políticas de retenção de dados, a segmentação da rede, o treinamento de funcionários e os processos de notificação de terceiros.

O registro Summit Pathology 2024 no LeakData foi elaborado para ajudar você a compreender o escopo real do incidente ao verificar se está associado a este grande vazamento de dados de saúde. O registro se baseia na data do incidente, 18 de abril de 2024, na quantidade informada de pessoas afetadas, 1.813.538, e nos tipos de dados explicitamente listados no comunicado oficial. As categorias de dados foram mantidas como identidade, endereço, data de nascimento, número de Seguro Social, informações financeiras, informações de seguro de saúde, informações de faturamento, informações médicas e informações de diagnóstico.

Se você identificar este incidente entre os vazamentos que afetam você, verifique regularmente seus relatórios de crédito e demonstrativos de seguro de saúde, fique atento a cobranças inesperadas de serviços de patologia ou de laboratório e tenha cautela com mensagens de pessoas que se passam por prestadores de serviços médicos. Em incidentes nos quais informações pessoais e de saúde podem ter vazado juntas, o risco persiste por muito tempo. Por isso, o registro foi verificado e marcado como ativo e sensível; suas ações não devem se limitar à troca de senha.