Violação de dados da Waveny LifeCare Network em 2025

A fonte primária é a “Notificação de incidente de segurança de dados” da Waveny, publicada em seu próprio domínio. Nesse documento, a organização descreve diretamente a interrupção na rede por volta de 28 de maio, a constatação de que uma parte não autorizada acessou determinados dados, as categorias em análise, sua linha de atendimento e as melhorias de segurança implementadas após o incidente.

O portal público do HHS OCR apresenta o registro da violação de dados de saúde da Waveny LifeCare Network, com 27.113 pessoas afetadas. Um documento de notificação aos consumidores de Massachusetts corrobora a oferta de assistência gratuita de monitoramento, enquanto o Claim Depot relaciona as fontes oficiais da organização e do estado e resume a cronologia e a abrangência do incidente. As fontes coincidem quanto à entidade, à data do incidente, aos tipos de dados e ao total de pessoas afetadas.

A Waveny sofreu uma interrupção em seus sistemas de rede em 28 de maio ou próximo dessa data. A organização adotou imediatamente medidas internas de resposta, notificou as autoridades policiais e contratou especialistas de destaque em segurança cibernética para examinar a natureza do ocorrido. Seu comunicado oficial afirma que a investigação constatou que uma parte não autorizada acessou determinados dados durante o incidente.

Uma fonte secundária associa o ocorrido a uma atividade de ransomware e a uma alegação de responsabilidade feita por um grupo chamado Qilin. O comunicado primário da Waveny não identifica um responsável, o método de acesso inicial ou o malware, nem confirma que os dados tenham sido efetivamente publicados na dark web.

As informações que podem ter sido afetadas incluem nomes e sobrenomes com endereços, datas de nascimento, números de telefone, endereços de e-mail, números de Seguro Social e números de carteira de motorista. Os dados também podem ter incluído fotografias do rosto. Como os dados variavam de pessoa para pessoa, a lista reúne os possíveis campos, em vez de representar um perfil completo mantido para cada indivíduo.

A combinação de nome, data de nascimento e SSN cria um risco significativo de fraude na abertura de novas contas e de uso indevido da identidade para fins fiscais. Dados de e-mail, telefone e endereço podem viabilizar tentativas convincentes de phishing em que os autores se passam pela Waveny ou por outra organização de saúde. Uma fotografia do rosto não é necessariamente um modelo biométrico, e o texto oficial não confirma separadamente o envolvimento de modelos de reconhecimento facial.

O comunicado oficial lista datas de admissão, datas de alta, data de óbito, números de prontuário médico, números de conta de paciente, resultados de exames laboratoriais, resultados de exames de imagem e prontuários eletrônicos de saúde. Números de conta ou apólice de seguro de saúde e informações do Medicare ou Medicaid também estavam no possível escopo. Esses dados vinculam diretamente uma pessoa a um histórico de tratamento.

Identificadores médicos e de seguro de saúde podem ser usados indevidamente para obter serviços de forma fraudulenta, usar a identidade de outra pessoa no atendimento médico e aplicar golpes direcionados. Os pacientes devem revisar os portais de saúde, os resumos de cobranças e os demonstrativos de benefícios do seguro em busca de serviços sem explicação, prestadores desconhecidos ou solicitações de cobertura que não reconheçam. Alterações inesperadas nos prontuários clínicos devem ser comunicadas diretamente ao prestador responsável.

Os possíveis campos também incluem informações de pagamento e números de contas financeiras. O texto oficial não esclarece se as informações de pagamento correspondem a um número de cartão, registro de transação ou outro campo financeiro, e não divulga o nome de um banco nem um código de acesso à conta.

A contagem de pessoas ou registros afetados publicada pela fonte oficial representa a abrangência informada do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. O Claim Depot apresenta exemplos por estado: 174 residentes de Massachusetts, 19 do Maine e nove de Vermont. Esses subconjuntos não são somados ao total nacional.

A Waveny iniciou medidas internas de resposta, notificou as autoridades policiais, conduziu uma investigação com especialistas em segurança cibernética e tomou medidas adicionais para reforçar a segurança dos sistemas. Os materiais de notificação estaduais ofereceram aos destinatários elegíveis 24 meses de monitoramento de crédito e proteção de identidade por meio da Cyberscout. Foi disponibilizada uma linha de atendimento dedicada pelo número 833-353-3395, das 9:00 da manhã às 9:00 da noite, no horário do leste dos EUA, nos dias úteis.

Os destinatários devem revisar regularmente seus relatórios de crédito, contas financeiras, cobranças de serviços de saúde e demonstrativos de benefícios do seguro. Quando um SSN ou informações financeiras estiveram envolvidos, pode ser adequado solicitar um bloqueio de crédito, um alerta de fraude e um PIN de proteção de identidade do IRS. Senhas, SSNs, números de seguro de saúde ou códigos de verificação não devem ser compartilhados em resposta a mensagens inesperadas que aleguem representar a Waveny.