Na terça-feira, a provedora de serviços de tecnologia de saúde HealthEquity divulgou em um documento com reguladores federais que sofreu uma violação de dados, na qual hackers roubaram as “informações de saúde protegidas” de alguns clientes.
Em um processo 8-K com a SECa empresa disse ter detectado “comportamento anômalo de um dispositivo de uso pessoal pertencente a um parceiro comercial” e concluiu que a conta do parceiro havia sido comprometida por alguém que então usou a conta para acessar as informações dos membros.
Na quarta-feira, a HealthEquity divulgou mais detalhes do incidente com o TechCrunch. A porta-voz da HealthEquity, Amy Cerny, disse em um e-mail que este foi “um incidente isolado” que não está conectado a outras violações recentes, como a da Change Healthcare, de propriedade da gigante da saúde UnitedHealth. Em maio, o CEO da UnitedHealth, Andrew Witty, disse em uma audiência na Câmara que a violação afetou “talvez um terço” de todos os americanos.
A HealthEquity detectou a violação em 25 de março, quando “tomou medidas imediatas, resolveu o problema e iniciou uma extensa análise forense de dados, que foi concluída em 10 de junho”. A empresa reuniu “uma equipe de especialistas externos e internos para investigar e se preparar para a resposta”. As investigações determinaram que a violação ocorreu devido à conta comprometida do fornecedor terceirizado ter acesso a “alguns dados do SharePoint da HealthEquity”, de acordo com Cerny.
Contate-nos
Você tem mais informações sobre essa violação do HealthEquity? De um dispositivo que não seja de trabalho, você pode entrar em contato com Lorenzo Franceschi-Bicchierai com segurança no Signal em +1 917 257 1382, ou via Telegram, Keybase e Wire @lorenzofb, ou e-mail. Você também pode entrar em contato com o TechCrunch via SecureDrop.
SharePoint é um conjunto de ferramentas da Microsoft que permite às empresas criar sites, bem como armazenar e compartilhar informações internas — essencialmente uma intranet.
Cerny também disse que “os sistemas transacionais, onde ocorrem integrações, não foram afetados” e que a empresa está notificando parceiros, clientes e membros, e tem trabalhado com autoridades policiais e especialistas para trabalhar na prevenção de incidentes futuros.
O TechCrunch pediu a Cerny para especificar quais informações pessoalmente identificáveis e de “saúde protegida” foram roubadas nessa violação, quantas pessoas foram afetadas e qual parceiro estava envolvido. Cerny se recusou a responder a todas essas perguntas.
No início deste ano, HealthEquity relatou que a empresa e suas subsidiárias “administram HSAs e outros CDBs para nossas mais de 15 milhões de contas em parceria com empregadores, consultores de benefícios e provedores de planos de saúde e aposentadoria”.
