Vazamento expôs dados de 190 milhões de pessoas nos EUA

A UnitedHealth confirmou que o ataque de ransomware sofrido pela sua subsidiária Change Healthcare, em fevereiro de 2024, comprometeu os dados de aproximadamente 190 milhões de pessoas nos Estados Unidos. Este número é quase o dobro da estimativa inicial divulgada anteriormente pela empresa.

A informação foi confirmada pela gigante de seguros de saúde americana em comunicado enviado ao TechCrunch na última sexta-feira.

“A Change Healthcare determinou que o número estimado total de indivíduos impactados pelo ataque cibernético é de aproximadamente 190 milhões. A grande maioria dessas pessoas já recebeu notificações individuais ou substitutas. O número final será confirmado e enviado ao Office for Civil Rights (OCR) em momento posterior”, afirmou Tyler Mason, porta-voz da UnitedHealth Group.

O maior vazamento de dados médicos da história dos EUA

O incidente, considerado o maior vazamento de dados médicos da história dos Estados Unidos, provocou meses de interrupções no sistema de saúde do país. A Change Healthcare, uma das maiores processadoras de dados de saúde e reivindicações médicas nos EUA, foi alvo de um ataque que expôs informações sensíveis, incluindo nomes, endereços, datas de nascimento, documentos de identificação (como números de Segurança Social, carteiras de motorista e passaportes), além de dados financeiros e bancários relacionados a reivindicações de seguros.

Os dados médicos roubados incluem diagnósticos, medicamentos, resultados de exames, planos de tratamento e informações de seguros de saúde. Parte dessas informações chegou a ser publicada online pelos hackers responsáveis pelo ataque, identificados como integrantes do grupo de ransomware ALPHV, conhecido por atuar em língua russa.

Resposta ao incidente e pagamentos de resgate

• De acordo com a Change Healthcare, pelo menos dois pagamentos de resgate foram feitos para evitar a divulgação de mais arquivos roubados.
• Embora a UnitedHealth tenha informado que não há indícios de uso indevido das informações ou da presença de bancos de dados médicos eletrônicos na análise, o vazamento levanta preocupações sobre a segurança de dados sensíveis.
• O ataque foi facilitado pelo uso de uma credencial roubada de uma conta que não estava protegida por autenticação multifator.
• Esse detalhe foi destacado por Andrew Witty, CEO da UnitedHealth Group, em um depoimento a legisladores no ano passado, reforçando a necessidade de práticas mais robustas de segurança cibernética no setor de saúde.