O procurador-geral de Nova York chegou a um acordo referente a uma violação de dados médicos que afetou 13,3 milhões de pessoas após falhas básicas de segurança.
A Perry Johnson & Associates (PJ&A) e quatro empresas relacionadas concordaram em pagar US$ 300.000 e implementar amplas reformas de segurança após uma violação de segurança que expôs informações pessoais e médicas de mais de 13,3 milhões de pessoas. Elas podem ser multadas em mais US$ 9,7 milhões caso não cumpram os termos do acordo.
A procuradora-geral de Nova York, Letitia James, anunciou o acordo em 6 de novembro, juntamente com os procuradores-gerais de Connecticut, Michigan e Nova Jersey. Aproximadamente 4,2 milhões das pessoas afetadas eram residentes de Nova York.
A investigação descreve uma série de falhas: acesso remoto sem autenticação multifatorial , senhas quase idênticas circuladas por e-mail, arquivos confidenciais sem criptografia em nível de arquivo e software de segurança que detectou atividade maliciosa, mas não alertou a equipe de segurança.
Resultado: as empresas só descobriram o ataque quando os atacantes entraram em contato com elas em 2 de maio de 2023 e exigiram pagamento.
Quantas pessoas foram afetadas?
Os arquivos de banco de dados roubados continham registros associados a mais de 13,3 milhões de pessoas, incluindo aproximadamente 4,2 milhões de nova-iorquinos.
Relatórios anteriores estimavam o número de pacientes afetados em aproximadamente 8,95 milhões. Os documentos do acordo agora apontam para um número maior, superior a 13,3 milhões. O total pode ser ainda maior, visto que o Procurador-Geral constatou que os invasores também acessaram arquivos em armazenamento de rede compartilhado contendo informações pessoais e de saúde, mas as empresas não revisaram esses arquivos para identificar outras pessoas afetadas.
As informações incluíam:
- Nomes, datas de nascimento e endereços residenciais.
- Números de Segurança Social.
- Números de prontuário médico e de conta hospitalar.
- Informações sobre seguros.
- Diagnósticos de admissão e datas do tratamento.
- Informações clínicas extraídas de transcrições médicas, incluindo resultados de exames, medicamentos, locais de tratamento e profissionais de saúde.
Verifique se seus dados pessoais foram expostos.
As notificações também foram lentas. A PJ&A começou a contatar os clientes sobre os arquivos de banco de dados roubados em julho de 2023, e seus clientes notificaram os indivíduos afetados entre 31 de outubro de 2023 e 8 de fevereiro de 2024. O Procurador-Geral de Nova York constatou que as empresas violaram as exigências estaduais de divulgar uma violação o mais rápido possível e sem atrasos injustificados.
O acordo
Embora o anúncio mencione um acordo no valor de até US$ 10 milhões, as empresas devem pagar US$ 300 mil em multas aos estados. Os US$ 9,7 milhões restantes estão suspensos e poderão ser pagos posteriormente. Nova York receberá US$ 100 mil do pagamento inicial. Esses valores são referentes aos estados, e não a uma indenização anunciada para os pacientes.
As informações expostas podem ser valiosas para criminosos. Nossa pesquisa encontrou pacotes de identidades roubadas sendo vendidos por apenas 95 centavos de dólar cada na dark web .
O acordo também exige extensas alterações de segurança para as empresas ativas relevantes, incluindo:
- Autenticação multifator (MFA) para contas de usuário individuais, incluindo contas de administrador, e acesso remoto à rede.
- Gerenciamento de senhas mais robusto e acesso restrito apenas ao que os funcionários precisam para desempenhar suas funções.
- Criptografia de informações pessoais e de saúde protegidas.
- Sistema de monitoramento que alerta automaticamente a equipe de segurança sobre atividades suspeitas.
- Avaliações de risco e testes de penetração anuais.
- Segmentação de rede e medidas para detectar e prevenir transferências de dados não autorizadas.
- Procedimentos escritos de resposta a incidentes e regras mais claras para a retenção e o descarte seguro de informações sensíveis .
Considerando a negligência, o número de registros expostos e as pessoas envolvidas, você acha que as empresas saíram impunes? Deixe sua opinião nos comentários.
Como se manter seguro
Uma violação de segurança não significa automaticamente que alguém tenha usado suas informações indevidamente, mas você pode tomar estas precauções enquanto aguarda mais detalhes:
- Verifique mensagens inesperadas de forma independente. Não se deixe levar por uma mensagem sobre a violação de dados a ponto de clicar em um link, compartilhar informações confidenciais ou efetuar um pagamento. Acesse o site oficial do seu plano de saúde ou seguradora por conta própria ou utilize informações de contato em que você já confia.
- Analise suas contas médicas e extratos do seguro. Procure por consultas, exames, receitas ou serviços que você não recebeu. A Comissão Federal de Comércio (FTC) identifica contas médicas desconhecidas e itens inesperados em um Demonstrativo de Benefícios, que explica como sua seguradora processou uma solicitação de reembolso, como sinais de alerta de roubo de identidade médica. Relate quaisquer discrepâncias ao seu profissional de saúde e à sua seguradora.
- Analise seus relatórios de crédito. Procure por contas ou dívidas desconhecidas e conteste erros. Relatórios gratuitos estão disponíveis em AnnualCreditReport.com .
- Aja imediatamente se encontrar indícios de roubo de identidade. Visite o site IdentityTheft.gov para obter um plano de recuperação. Se alguém recebeu atendimento médico em seu nome, solicite aos profissionais de saúde envolvidos cópias de seus registros médicos e peça correções por escrito.
O roubo de identidade médica não é apenas um problema financeiro; também pode afetar seu atendimento. Alguém que usa sua identidade para obter tratamento ou enviar solicitações de reembolso ao seguro pode inserir informações incorretas em seu prontuário médico. Verificar seus extratos médicos e relatar qualquer coisa estranha pode ajudar a detectar esse uso indevido.
Vamos ser sinceros, uma janela anônima tem suas limitações.
Invasões de dados, comércio ilegal na dark web, fraudes com cartões de crédito. Malwarebytes Identity Theft Protection monitora tudo isso, alerta você rapidamente e inclui seguro contra roubo de identidade.
