A gigante farmacêutica Amgen confirmou uma violação de dados que expôs tanto informações de saúde de pacientes quanto dados corporativos proprietários, levantando novas preocupações sobre as implicações para a privacidade dos pacientes da violação de dados da Amgen para os indivíduos cujos registros foram envolvidos. A empresa afirma que o incidente teve origem em sistemas de armazenamento em nuvem e que está agora a notificar os indivíduos afetados, embora vários detalhes importantes, incluindo se foi utilizado ransomware ou se foi feito um pedido de resgate, permaneçam por confirmar.

O Que Aconteceu na Violação de Dados da Amgen

De acordo com os detalhes disponíveis, os atacantes acederam a sistemas de armazenamento baseados na nuvem ligados às operações da Amgen e levaram uma mistura de dados sensíveis: informações de saúde protegidas (PHI) pertencentes a pacientes, juntamente com informações corporativas proprietárias. A Amgen iniciou o processo de notificação dos afetados, um passo exigido pelas regras de divulgação de violações de dados de saúde assim que uma empresa confirma que dados pessoais de saúde foram comprometidos.

O que ainda não está claro, e que os investigadores ainda estão a tentar determinar, é se os atacantes utilizaram ransomware como parte da intrusão, ou se a Amgen recebeu um pedido de resgate ou tentativa de extorsão ligada aos dados roubados. Estas são questões em aberto críticas. Um incidente de roubo de dados simples e uma campanha de extorsão baseada em ransomware acarretam riscos diferentes, tanto para a empresa como para os pacientes cujas informações foram levadas, particularmente no que diz respeito à possibilidade de os dados roubados serem divulgados publicamente, vendidos ou mantidos para pagamento.

Por Que as Violações de Dados de Saúde Colocam os Pacientes em Maior Risco

As violações no setor da saúde tendem a ter consequências que duram mais do que um incidente de dados corporativos típico. Números de contas financeiras podem ser cancelados e reemitidos em dias. Registos médicos, diagnósticos, históricos de prescrições e outras PHI não podem ser simplesmente repostos. Uma vez exposta, essa informação permanece exposta, e pode ser usada contra os pacientes durante anos de formas mais difíceis de detetar do que uma cobrança fraudulenta num cartão de crédito.

É isso que torna as organizações de saúde alvos tão atrativos. As PHI incluem frequentemente informação suficiente (nomes, datas de nascimento, detalhes de seguros, históricos médicos) para permitir roubo de identidade, fraude de seguros e esquemas de phishing direcionados que fazem referência às condições de saúde reais de um paciente para parecerem credíveis. Combine-se isso com dados corporativos proprietários, que podem incluir investigação, informações de ensaios clínicos ou registos internos de negócios, e uma única violação pode criar riscos em várias frentes ao mesmo tempo: a privacidade do paciente de um lado, a integridade corporativa e da investigação do outro.

O setor da saúde tornou-se também um alvo frequente precisamente por este duplo valor, e porque muitos prestadores e os seus fornecedores dependem de sistemas de nuvem complexos e interligados que ampliam a potencial superfície de ataque. À medida que as organizações integram cada vez mais ferramentas automatizadas e sistemas baseados em IA nas suas infraestruturas, os atacantes têm mostrado que podem explorar fraquezas nestas tecnologias mais recentes com a mesma facilidade com que o fazem nas mais antigas. Um exemplo recente, detalhado na nossa cobertura de um agente de IA a invadir o Hugging Face através de uma falha de dia zero, ilustra a rapidez com que os atacantes podem passar a explorar as próprias ferramentas de automação e nuvem de que as organizações dependem.

Como as VPNs e a Encriptação se Encaixam na Segurança dos Dados de Saúde

Embora nenhuma ferramenta isolada impeça uma violação ao nível organizacional, a encriptação e as ligações seguras continuam a ser fundamentais para limitar os danos quando os sistemas são comprometidos. Os dados encriptados tanto em repouso como em trânsito são muito menos úteis para os atacantes, mesmo que estes consigam exfiltrá-los. Para as organizações de saúde, isto significa encriptar as PHI armazenadas em sistemas de nuvem e garantir que os dados que se movem entre sistemas internos, fornecedores e provedores de nuvem viajam através de canais encriptados e autenticados.

Para pacientes individuais e funcionários que acedem remotamente a portais de saúde ou sistemas corporativos, as VPNs e as ligações encriptadas acrescentam uma camada de proteção contra a interceção em redes não seguras, particularmente ao aceder a portais de saúde sensíveis a partir de Wi-Fi público ou dispositivos pessoais. Não substituem as práticas de segurança da própria organização, mas reduzem o risco de os dados serem intercetados em trânsito, uma peça de um quadro de segurança muito mais amplo que inclui controlos de acesso, monitorização e planeamento de resposta a incidentes.

O Que Isto Significa Para Si

Se recebeu, ou poderá vir a receber, uma notificação de violação da Amgen, leve-a a sério mesmo antes de todos os detalhes do incidente serem confirmados. Comece por rever cuidadosamente qualquer carta de notificação para obter especificidades sobre os dados envolvidos. Monitorize as suas declarações de seguro e os documentos de explicação de benefícios para detetar reclamações desconhecidas, um sinal comum de roubo de identidade médica. Considere colocar um alerta de fraude ou congelar o crédito junto das principais agências de crédito, uma vez que as PHI roubadas são frequentemente agrupadas com detalhes pessoais suficientes para abrir contas fraudulentas. Seja cauteloso com quaisquer comunicações de seguimento que afirmem ser da Amgen ou dos seus parceiros, especialmente as que lhe pedem para clicar em links ou fornecer informações pessoais adicionais, uma vez que as notificações de violação são frequentemente exploradas por burlões que executam campanhas secundárias de phishing.

O alcance total da violação de dados da Amgen, incluindo se o ransomware desempenhou algum papel ou se foram feitas exigências de extorsão, poderá demorar tempo a clarificar. Entretanto, os pacientes afetados pelo incidente dispõem de medidas práticas para limitar a sua exposição: monitorizar contas, congelar o crédito quando apropriado e manter-se alerta a comunicações suspeitas. As organizações de saúde continuarão a ser alvos de alto valor para os atacantes, mas os pacientes informados e proativos estão muito melhor posicionados para detetar e limitar as consequências quando ocorrem violações como esta.