Empresa de Tecnologia de Saúde Confirma Acesso Não Autorizado Prolongado

CareCloud, uma empresa que fornece serviços de registos de saúde eletrónicos a prestadores de cuidados de saúde, começou a notificar formalmente centenas de milhares de pacientes de que os seus dados médicos foram roubados numa violação ocorrida no início deste ano. De acordo com a empresa, os hackers tiveram acesso a um dos seus repositórios de registos de saúde eletrónicos durante, pelo menos, seis dias, entre 10 e 16 de março, antes de a intrusão ser detetada e contida.

A notificação surge meses após o próprio incidente, um intervalo comum nas violações de dados de saúde, porque as empresas geralmente precisam de tempo para investigar o alcance do acesso não autorizado, trabalhar com investigadores forenses e preparar as notificações legais antes de contactar os indivíduos afetados. Para os pacientes, contudo, esse atraso significa que as informações pessoais de saúde podem ter estado a circular ou em risco durante um período prolongado antes de alguma vez serem informados.

Um Toque Inusitado: Um Hacker Que Partilhou Provas

O que distingue este incidente de muitas outras violações de dados de saúde é a forma como o atacante abordou a CareCloud. A empresa afirmou que um hacker assumiu a responsabilidade pela intrusão e, nomeadamente, partilhou amostras dos dados roubados diretamente com a empresa, juntamente com uma exigência de resgate para impedir que as informações fossem publicadas online. Partilhar amostras de dados como alavanca não é a prática habitual entre agentes de ransomware ou extorsão, que mais frequentemente ameaçam publicar ficheiros roubados sem oferecer provas antecipadas. Esse detalhe sugere que o atacante pretendia estabelecer credibilidade rapidamente, provavelmente para pressionar a CareCloud a pagar, em vez de arriscar uma negociação prolongada.

Apesar disso, nenhum grupo de ransomware estabelecido ou gangue de extorsão reivindicou publicamente a autoria da violação. Este tipo de ambiguidade não é incomum no panorama atual de ameaças, onde atores isolados, grupos mais pequenos ou afiliados que operam fora de uma marca de ransomware reconhecida realizam cada vez mais ataques sem os reivindicar nos sites de fuga de informações normalmente utilizados por grandes operações de cibercrime. A ausência de uma reivindicação nomeada não reduz necessariamente a gravidade da exposição; apenas dificulta a atribuição e a monitorização para os investigadores e para os pacientes afetados.

Este esforço de notificação surge na sequência de uma divulgação anterior este ano, na qual a CareCloud confirmou que hackers tinham acedido a registos médicos de pacientes relacionados com o mesmo incidente de segurança mais amplo. O envio de notificações a centenas de milhares de indivíduos representa a fase seguinte desse processo de divulgação, à medida que a empresa analisa os detalhes de exatamente quais os dados afetados e que categorias de informações foram expostas.

Porque é Que as Violações de Dados de Saúde Acarretam um Risco Desproporcional

Os registos de saúde eletrónicos contêm normalmente uma combinação de informações altamente sensíveis: nomes, datas de nascimento, números de Segurança Social, dados de seguros, históricos de diagnóstico e tratamento e, por vezes, dados de faturação ou financeiros. Ao contrário de uma palavra-passe comprometida, este tipo de informação não pode ser simplesmente reposto. O roubo de identidade médica, a fraude em seguros e as campanhas de phishing direcionadas são resultados realistas quando este tipo de dados cai nas mãos erradas, e os efeitos podem surgir meses ou até anos após a violação original.

Fornecedores de tecnologia de saúde como a CareCloud estão numa posição particularmente sensível, porque processam e armazenam dados em nome de várias organizações prestadoras de cuidados, o que significa que uma única violação num fornecedor pode repercutir-se em pacientes de muitas clínicas e sistemas hospitalares diferentes que nunca interagiram diretamente com a empresa comprometida. Tal como noticiado anteriormente, a dimensão da exposição da CareCloud afetou milhões de registos de pacientes em toda a sua base de clientes, sublinhando o quão concentrado se torna o risco quando tantos dados de saúde fluem através de um pequeno número de fornecedores de tecnologia.

O Que Isto Significa Para Si

Se recebeu, ou vier a receber, uma carta de notificação da CareCloud, leve-a a sério, mesmo que a linguagem pareça rotineira. Leia a carta com atenção para compreender exatamente que categorias das suas informações estiveram envolvidas, uma vez que nem todos os indivíduos notificados terão tido os mesmos dados expostos. Se houver números de Segurança Social ou identificadores de seguros incluídos, considere colocar um alerta de fraude ou um congelamento de crédito junto das principais centrais de risco. Analise atentamente os seus extratos de seguros e faturas médicas para detetar serviços que não reconhece, pois o roubo de identidade médica pode ser mais difícil de identificar do que a fraude financeira comum. Tenha cuidado com quaisquer e-mails, telefonemas ou mensagens de seguimento que aleguem ser da CareCloud ou do seu prestador de cuidados de saúde a pedir-lhe para verificar dados pessoais, uma vez que as notificações de violação são frequentemente exploradas por burlões que realizam campanhas de phishing.

Pontos-Chave

O processo de notificação da CareCloud é um lembrete de que as violações de dados de saúde muitas vezes se desenrolam em fases, com a intrusão inicial, a investigação e a eventual notificação separadas por meses. Os pacientes afetados por este incidente devem rever atentamente quaisquer cartas de notificação, inscrever-se na monitorização de crédito oferecida, se disponível, e permanecer atentos a comunicações suspeitas que façam referência ao seu historial médico ou informações de seguro. À medida que as organizações de saúde continuam a depender de fornecedores de tecnologia terceiros para gerir registos sensíveis, incidentes como este destacam por que razão a vigilância, tanto das empresas como dos pacientes, continua a ser essencial muito depois de uma violação ser detetada pela primeira vez.