Empresa de saúde expõe dados de 13 milhões e fará acordo

Segurança Cibernética

Após violação, empresa de saúde concorda com acordo e reforça proteção dos dados de milhões de usuários.

Leia também: Rússia prende trio do grupo hacker VasyGrek e bloqueia golpes

A Perry Johnson Companies, empresa de serviços de saúde baseada em Nevada, vai pagar US$ 300 mil e cumprir uma série de exigências em segurança cibernética após uma violação que expôs dados pessoais e médicos de mais de 13 milhões de pessoas nos Estados Unidos. O acordo é resultado de investigação conduzida pelos procuradores-gerais de Connecticut, New Jersey, Nova York e Michigan e prevê multa adicional de US$ 9,7 milhões se as mudanças não forem implementadas.

Hackers ficaram dois meses dentro do sistema

A invasão atingiu subsidiárias da Perry Johnson nas áreas de transcrição médica, codificação e imagens. Segundo o gabinete da procuradora-geral de Nova York, Letitia James, criminosos conseguiram entrar nos sistemas usando as credenciais de um funcionário porque a empresa não adotava autenticação multifator para confirmar a identidade dos usuários.

“A empresa não usava autenticação multifator, o que permitiu o acesso dos hackers”, afirmou o Escritório da procuradora-geral Letitia James, em comunicado. Sem essa camada extra de proteção, bastou o usuário e a senha do empregado para que os invasores tivessem acesso amplo aos sistemas internos.

Os hackers passaram dois meses coletando informações sem serem interrompidos. Nesse período, de acordo com a investigação, eles reuniram senhas e arquivos não criptografados que armazenavam dados de saúde protegidos. O próprio software de segurança da empresa chegou a registrar a movimentação suspeita, mas falhou no alerta.

“O software de segurança estava mal configurado e não alertou a equipe sobre a atividade dos invasores”, informou ainda o gabinete de James. A empresa só veio a saber da violação quando os próprios hackers a notificaram.

Quais dados de pacientes foram expostos

Os arquivos acessados continham um volume amplo de informações sensíveis. Foram expostos nomes, datas de nascimento, endereços residenciais, números de Seguro Social, números de contas hospitalares, diagnósticos, dados de seguro de saúde, além de informações clínicas presentes em arquivos de transcrição médica.

Também estavam nos registros nomes de medicamentos utilizados pelos pacientes e resultados de exames laboratoriais. Por envolver dados de saúde protegidos e identificáveis, o episódio é considerado uma violação grave de privacidade, com potencial para fraudes de identidade, golpes financeiros e discriminação baseada em histórico médico.

Entenda o contexto

A Perry Johnson Companies atua como prestadora de serviços para hospitais, clínicas e outros provedores de saúde, cuidando de processos como transcrição de laudos, codificação de procedimentos para faturamento e processamento de imagens médicas. Nesse tipo de operação, as empresas terceirizadas recebem grandes volumes de dados de pacientes e são obrigadas a adotar padrões rigorosos de proteção da informação.

A investigação dos estados concluiu que, além de falhas pontuais, havia problemas estruturais na forma como a companhia tratava a segurança digital: ausência de autenticação multifator, uso de arquivos não criptografados para armazenar dados sensíveis, configuração inadequada de ferramentas de segurança e falta de mecanismos claros de resposta a incidentes.

O que o acordo obriga a empresa a fazer

Pelo acordo anunciado pelos procuradores-gerais, a Perry Johnson terá de implementar um programa abrangente de segurança da informação, com políticas e procedimentos formais para prevenir, detectar e responder a ataques cibernéticos. A empresa também deverá criar padrões específicos de resposta a incidentes, detalhando prazos, responsabilidades e fluxos de comunicação em caso de novas violações.

Entre as medidas técnicas obrigatórias estão a implantação de autenticação multifator para acesso a sistemas sensíveis, adoção de sistemas de criptografia para proteger dados em repouso e em trânsito e um programa robusto de gerenciamento de senhas. A companhia ainda terá de realizar avaliações de risco anuais para identificar vulnerabilidades e corrigi-las de forma contínua.

Outro ponto central é a criação de um sistema de governança de dados, capaz de controlar como as informações de saúde são coletadas, usadas, armazenadas e descartadas. A expectativa das autoridades é reduzir o volume de dados mantidos além do necessário e garantir que o descarte seja feito de forma segura.

“Se a empresa não fizer as reformas necessárias em segurança cibernética, terá que pagar US$ 9,7 milhões adicionais aos estados”, advertiu o Escritório da procuradora-geral Letitia James. O valor extra funciona como pressão financeira para que o plano de melhorias saia do papel.

Impacto e sinalização para o setor de saúde

Mais de 13 milhões de pessoas tiveram seus dados potencialmente expostos, o que projeta o caso entre as maiores violações recentes envolvendo informações de pacientes nas redes de prestadores de serviço em saúde. Para as vítimas, o risco imediato é de uso indevido dos dados para abertura de contas fraudulentas, golpes com seguro de saúde e exploração de detalhes médicos em contextos de discriminação.

Para o setor, o acordo reforça o recado de que falhas básicas de segurança, como não usar autenticação multifator ou manter arquivos sensíveis sem criptografia, não serão mais toleradas por autoridades estaduais. Empresas terceirizadas que lidam com prontuários, faturamento ou laudos passam a ser vistas com a mesma responsabilidade de hospitais e planos de saúde em matéria de proteção de dados.

Especialistas em cibersegurança avaliam que a combinação de multa imediata mais uma penalidade milionária condicionada ao cumprimento das reformas tende a influenciar a governança corporativa, forçando conselhos de administração e executivos a priorizar investimentos em proteção de dados.

Até o momento, a Perry Johnson Companies não respondeu aos pedidos de comentário sobre o caso. Os estados que firmaram o acordo vão acompanhar a implementação das medidas e poderão acionar a multa adicional de US$ 9,7 milhões em caso de descumprimento.