O procurador-geral de Nova Iorque chegou a um acordo referente a uma violação de dados médicos que afetou 13,3 milhões de pessoas após falhas básicas de segurança.
A Perry Johnson & Associates (PJ&A) e quatro empresas relacionadas concordaram em pagar 300.000 dólares e implementar amplas reformas de segurança após uma violação de segurança que expôs informações pessoais e médicas de mais de 13,3 milhões de pessoas. Podem ser multadas em mais 9,7 milhões de dólares caso não cumpram os termos do acordo.
A procuradora-geral de Nova Iorque, Letitia James, anunciou o acordo a 6 de novembro, juntamente com os procuradores-gerais de Connecticut, Michigan e Nova Jérsia. Aproximadamente 4,2 milhões das pessoas afetadas eram residentes em Nova Iorque.
A investigação descreve uma série de falhas: acesso remoto sem autenticação multifatorial , palavras-passe quase idênticas circuladas por e-mail, ficheiros confidenciais sem encriptação ao nível do ficheiro e software de segurança que detetou atividade maliciosa, mas não alertou a equipa de segurança.
Resultado: as empresas só descobriram o ataque quando os atacantes as contactaram a 2 de maio de 2023 e exigiram o pagamento.
Quantas pessoas foram afetadas?
Os ficheiros de base de dados roubados continham registos associados a mais de 13,3 milhões de pessoas, incluindo aproximadamente 4,2 milhões de nova-iorquinos.
Relatórios anteriores estimavam o número de doentes afetados em aproximadamente 8,95 milhões. Os documentos do acordo apontam agora para um número superior, superior a 13,3 milhões. O total pode ser ainda maior, dado que o Procurador-Geral constatou que os atacantes também acederam a ficheiros em armazenamento de rede partilhado contendo informações pessoais e de saúde, mas as empresas não analisaram esses ficheiros para identificar outras pessoas afetadas.
As informações incluíam:
- Nomes, datas de nascimento e moradas residenciais.
- Números de Segurança Social.
- Números de registos médicos e de conta hospitalar.
- Informações sobre seguros.
- Diagnósticos de admissão e datas do tratamento.
- Informação clínica extraída de transcrições médicas, incluindo resultados de exames, medicamentos, locais de tratamento e profissionais de saúde.
Verifique se os seus dados pessoais foram expostos.
As notificações também foram lentas. A PJ&A começou a contactar os clientes sobre os ficheiros de base de dados roubados em julho de 2023, e os seus clientes notificaram os indivíduos afetados entre 31 de outubro de 2023 e 8 de fevereiro de 2024. O Procurador-Geral de Nova Iorque constatou que as empresas violaram as exigências estaduais de divulgar uma violação o mais rapidamente possível e sem atrasos injustificados.
O acordo
Embora o anúncio mencione um acordo no valor de até 10 milhões de dólares, as empresas deverão pagar 300 mil dólares em multas aos estados. Os restantes 9,7 milhões de dólares estão suspensos e poderão ser pagos posteriormente. Nova Iorque receberá 100 mil dólares do pagamento inicial. Estes valores são referentes aos estados, e não a uma indemnização anunciada para os doentes.
As informações expostas podem ser valiosas para os criminosos. A nossa pesquisa encontrou pacotes de identidades roubadas a serem vendidos por apenas 95 cêntimos de dólar cada na dark web .
O acordo exige também extensas alterações de segurança para as empresas ativas relevantes, incluindo:
- Autenticação multifator (MFA) para contas de utilizador individuais, incluindo contas de administrador, e acesso remoto à rede.
- Gestão de passwords mais robusta e acesso restrito apenas ao que os colaboradores necessitam para desempenhar as suas funções.
- Encriptação de informações pessoais e de saúde protegidas.
- Sistema de monitorização que alerta automaticamente a equipa de segurança sobre atividades suspeitas.
- Avaliações de risco anuais e testes de intrusão.
- Segmentação de redes e medidas para detetar e prevenir transferências de dados não autorizadas.
- Procedimentos escritos de resposta a incidentes e regras mais claras para a retenção e eliminação segura de informação sensível .
Considerando a negligência, o número de registos expostos e as pessoas envolvidas, acha que as empresas saíram impunes? Deixe a sua opinião nos comentários.
Como se manter seguro
Uma violação de segurança não significa automaticamente que alguém tenha feito um mau uso das suas informações, mas pode tomar estas precauções enquanto aguarda por mais detalhes:
- Verifique mensagens inesperadas de forma independente. Não se deixe levar por uma mensagem sobre a violação de dados ao ponto de clicar num link, partilhar informações confidenciais ou efetuar um pagamento. Aceda ao site oficial do seu plano de saúde ou seguradora por conta própria ou utilize informações de contacto em que já confia.
- Analise as suas contas médicas e os extratos do seguro. Procure consultas, exames, receitas ou serviços que não recebeu. A Comissão Federal de Comércio (FTC) identifica contas médicas desconhecidas e itens inesperados num Demonstrativo de Benefícios, que explica como a sua seguradora processou um pedido de reembolso, como sinais de alerta de roubo de identidade médica. Comunique quaisquer discrepâncias ao seu profissional de saúde e à sua seguradora.
- Analise os seus relatórios de crédito. Procure contas ou dívidas desconhecidas e conteste erros. Os relatórios gratuitos estão disponíveis em AnnualCreditReport.com .
- Aja imediatamente se encontrar indícios de roubo de identidade. Visite o site IdentityTheft.gov para obter um plano de recuperação. Se alguém recebeu cuidados médicos em seu nome, solicite aos profissionais de saúde envolvidos cópias dos seus registos médicos e peça correções por escrito.
O roubo de identidade médica não é apenas um problema financeiro; também pode afetar o seu atendimento. Alguém que utilize a sua identidade para obter tratamento ou enviar pedidos de reembolso ao seguro pode inserir informações incorretas no seu registo médico. Verificar os seus extratos médicos e comunicar qualquer coisa estranha pode ajudar a detetar este uso indevido.
Sejamos sinceros, uma janela anónima tem as suas limitações.
Invasões de dados, comércio ilegal na dark web, fraudes com cartões de crédito. Malwarebytes Identity Theft Protection monitoriza tudo isto, alerta-o rapidamente e inclui seguro contra roubo de identidade.
