A Quest Diagnostics informou os reguladores de que uma parte não autorizada obteve acesso a um dos seus sistemas e que "certos registos de pacientes" podem estar afetados. A divulgação, feita numa submissão regulatória e noticiada pela SecurityWeek, centra-se no Quanum Lab Services Manager, uma plataforma onde certos clientes podem fazer pedidos de análises. Os detalhes ainda são limitados, mas a história da violação de dados da Quest Diagnostics com registos de pacientes já oferece lições úteis para qualquer pessoa que alguma vez tenha feito análises ao sangue ou outros exames laboratoriais nos Estados Unidos.
O que a Quest Divulgou Sobre a Violação do Quanum
De acordo com o relatório da fonte, a Quest Diagnostics reportou acesso não autorizado ao Quanum Lab Services Manager numa submissão regulatória. A plataforma é utilizada por certos clientes, ou seja, prestadores de cuidados de saúde e organizações semelhantes, para fazer pedidos de análises laboratoriais. Não é uma aplicação virada para o consumidor na qual a maioria dos pacientes inicia sessão.
A empresa afirmou acreditar que certos registos de pacientes estiveram envolvidos. A cobertura da submissão indica também que o âmbito completo continua sob investigação. Algumas publicações nas redes sociais que circulam sobre o incidente fazem alegações mais amplas, incluindo sobre que tipos de dados foram expostos. Como a própria submissão é descrita apenas em termos gerais, essas alegações devem ser tratadas com cautela até que a Quest ou os reguladores publiquem mais detalhes.
O que podemos afirmar com confiança é limitado: uma plataforma de pedidos orientada a clientes foi acedida sem autorização, acredita-se que alguns registos de pacientes estão afetados e a investigação está em curso. Os leitores devem esperar que o quadro mude à medida que a empresa saiba mais.
Porque as Plataformas de Pedidos de Análises São um Ponto Fraco na Privacidade da Saúde
A maioria das pessoas pensa num laboratório como uma única organização. Na prática, uma análise envolve uma cadeia de partes: o consultório do seu médico, o laboratório, os sistemas de faturação e o software que os liga. Portais como o Quanum existem para que clientes externos possam enviar pedidos e receber informações, o que significa que armazenam dados de pacientes por conceção e são acessíveis por muitos utilizadores a partir de muitos locais.
Essa combinação cria risco. Cada cliente conectado é outro conjunto de credenciais, dispositivos e membros de pessoal que podem ser alvo. Um sistema construído para conveniência em muitas organizações é também um valioso ponto único de acesso para um atacante. Pode nunca ter ouvido falar da plataforma, mas os seus registos podem passar por ela simplesmente porque um prestador escolheu um determinado laboratório.
É também por isso que os pacientes frequentemente ficam a saber de uma violação em segunda mão. A organização com que lidou diretamente pode não ser a que foi comprometida, pelo que os avisos podem chegar de uma empresa que não reconhece.
O que Isto Significa Para Si
Se utilizou a Quest Diagnostics, diretamente ou através de um médico, a mensagem prática é manter-se alerta em vez de entrar em pânico. Não todos os pacientes estão afetados, e a empresa não publicou uma lista completa dos dados expostos.
Eis o que fazer agora:
- Fique atento ao seu correio e email para uma carta de notificação. Espera-se geralmente que as organizações que sofrem uma violação que afeta informações pessoais notifiquem as pessoas envolvidas. Leia qualquer aviso com atenção e guarde uma cópia.
- Considere um bloqueio de crédito. Um bloqueio é gratuito e limita a capacidade de alguém abrir novo crédito em seu nome. É uma precaução sensata se um aviso indicar que detalhes identificativos estiveram envolvidos.
- Seja cético em relação a mensagens inesperadas sobre a sua saúde. Textos, chamadas ou emails que mencionem resultados de análises, faturação ou "verificação dos seus registos" podem ser tentativas de phishing. Contacte a Quest ou o seu prestador utilizando um número de telefone ou website que encontre por si mesmo, não um fornecido na mensagem.
- Reveja as suas contas e extratos. Verifique a atividade bancária, de seguros e do portal de saúde para qualquer coisa desconhecida, e reporte problemas prontamente.
- Reforce os seus inícios de sessão. Utilize palavras-passe únicas e autenticação multifator nos portais de pacientes, email e contas financeiras.
Como os Dados de Saúde Roubados São Usados Após uma Violação
A informação médica é atrativa porque combina detalhes de identidade com contexto sensível. Os criminosos podem usá-la para criar mensagens de phishing convincentes que fazem referência a um prestador real ou a uma análise real, o que torna as pessoas mais propensas a clicar ou a partilhar mais informações. Os detalhes de identidade também podem ser usados em tentativas de fraude.
Há um segundo uso que se tornou mais comum: pressão. Os registos roubados podem ser usados sobre uma organização como alavanca, com os atacantes a ameaçar publicá-los a menos que as exigências sejam cumpridas. A nossa explicação sobre como a reputação se tornou a arma na extorsão de dados por ransomware aborda porque os dados roubados se tornaram uma ferramenta de negociação. O relatório da fonte sobre a Quest não indica que a extorsão esteja envolvida aqui, pelo que isto é contexto e não uma afirmação sobre este incidente.
Vale também a pena notar que as orientações após uma violação podem variar consoante o que foi levado. Num caso não relacionado, uma empresa hoteleira aconselhou os hóspedes afetados a substituir fisicamente os seus passaportes e cartas de condução após a exposição de documentos de identidade. Essa empresa não está ligada à Quest Diagnostics, mas o exemplo mostra porque os tipos específicos de dados indicados no seu aviso importam mais do que o título.
Principais Conclusões
A divulgação da violação de dados da Quest Diagnostics com registos de pacientes ainda está em desenvolvimento, e o número exato de pessoas e tipos de dados afetados ainda não são públicos. Até serem, alguns hábitos cobrem a maior parte do risco:
- Esteja atento a uma carta de notificação de violação e leia-a com atenção.
- Bloqueie o seu crédito se o aviso mencionar informações identificativas.
- Trate mensagens inesperadas sobre saúde ou faturação como suspeitas e verifique através de canais oficiais.
- Ative a autenticação multifator nas suas contas principais.
Para compreender porque os registos roubados podem importar muito depois dos primeiros títulos, leia o nosso artigo sobre extorsão de dados por ransomware, e depois reserve dez minutos hoje para proteger o seu crédito e contas.
