A Perry Johnson Companies, empresa de serviços de saúde sediada em Nevada, concordou em pagar US$ 300 mil e cumprir uma série de exigências para reforçar sua segurança cibernética após uma violação que expôs dados pessoais e médicos de mais de 13 milhões de pessoas nos Estados Unidos. O acordo foi firmado após uma investigação conduzida pelos procuradores-gerais de Connecticut, Nova Jersey, Nova York e Michigan. O documento prevê ainda uma multa adicional de US$ 9,7 milhões caso as reformas não sejam implementadas.
A invasão atingiu subsidiárias da empresa que atuam com transcrição médica, codificação e imagens. Segundo o gabinete da procuradora-geral de Nova York, Letitia James, os criminosos acessaram os sistemas utilizando as credenciais de um funcionário, em parte porque a companhia não adotava autenticação multifator para confirmar a identidade dos usuários.
Sem essa camada adicional de proteção, os invasores conseguiram utilizar o nome de usuário e a senha do empregado para obter amplo acesso aos sistemas internos. De acordo com o gabinete de James, os hackers permaneceram por dois meses coletando informações sem serem interrompidos.
Nesse período, eles reuniram senhas e arquivos não criptografados que armazenavam dados de saúde protegidos. O software de segurança da empresa registrou a movimentação suspeita, mas não alertou a equipe, devido a uma configuração inadequada. A companhia só tomou conhecimento da violação quando foi notificada pelos próprios invasores.
Os arquivos acessados continham nomes, datas de nascimento, endereços residenciais, números de Seguro Social, números de contas hospitalares, diagnósticos, dados de seguro de saúde e informações clínicas presentes em documentos de transcrição médica. Também estavam nos registros nomes de medicamentos utilizados pelos pacientes e resultados de exames laboratoriais.
Por envolver dados de saúde protegidos e identificáveis, o episódio é considerado uma violação grave de privacidade, com potencial para fraudes de identidade, golpes financeiros e discriminação baseada em histórico médico.
A Perry Johnson Companies presta serviços a hospitais, clínicas e outros provedores de saúde, incluindo transcrição de laudos, codificação de procedimentos para faturamento e processamento de imagens médicas. Nesse tipo de operação, empresas terceirizadas recebem grandes volumes de dados de pacientes e devem seguir padrões rigorosos de proteção das informações.
A investigação dos estados apontou que, além de falhas pontuais, havia problemas estruturais na forma como a companhia tratava a segurança digital. Entre eles estavam a ausência de autenticação multifator, o armazenamento de dados sensíveis em arquivos não criptografados, a configuração inadequada de ferramentas de segurança e a falta de mecanismos claros de resposta a incidentes.
Pelo acordo, a empresa terá de implementar um programa abrangente de segurança da informação, com políticas e procedimentos formais para prevenir, detectar e responder a ataques cibernéticos. Também deverá estabelecer padrões específicos de resposta a incidentes, com prazos, responsabilidades e fluxos de comunicação definidos para eventuais novas violações.
Entre as medidas técnicas obrigatórias estão a implantação de autenticação multifator em sistemas sensíveis, a adoção de criptografia para proteger dados armazenados e em trânsito e a criação de um programa robusto de gerenciamento de senhas. A companhia ainda deverá realizar avaliações anuais de risco para identificar vulnerabilidades e corrigi-las continuamente.
O acordo também determina a criação de um sistema de governança de dados para controlar como as informações de saúde são coletadas, utilizadas, armazenadas e descartadas. A expectativa das autoridades é reduzir a quantidade de dados mantidos além do necessário e garantir que o descarte seja feito de maneira segura.
Caso não realize as reformas exigidas, a Perry Johnson Companies poderá ser obrigada a pagar US$ 9,7 milhões adicionais aos estados. A penalidade funciona como uma forma de pressionar a empresa a cumprir o plano de melhorias.
Mais de 13 milhões de pessoas tiveram seus dados potencialmente expostos, o que coloca o caso entre as maiores violações recentes envolvendo informações de pacientes em redes de prestadores de serviços de saúde. Para as vítimas, os riscos incluem uso indevido dos dados para abertura de contas fraudulentas, golpes relacionados a seguros de saúde e exploração de informações médicas em situações de discriminação.
Para o setor, o acordo reforça o entendimento de que falhas básicas de segurança, como a ausência de autenticação multifator e o armazenamento de arquivos sensíveis sem criptografia, podem resultar em medidas severas das autoridades estaduais. Empresas terceirizadas que lidam com prontuários, faturamento ou laudos passam a ser cobradas por padrões de proteção semelhantes aos exigidos de hospitais e planos de saúde.
Especialistas em cibersegurança avaliam que a combinação entre uma multa imediata e uma penalidade milionária condicionada ao cumprimento das reformas pode influenciar a governança corporativa, levando conselhos de administração e executivos a priorizar investimentos em proteção de dados.
Até o momento, a Perry Johnson Companies não respondeu aos pedidos de comentário sobre o caso. Os estados que firmaram o acordo acompanharão a implementação das medidas e poderão aplicar a multa adicional de US$ 9,7 milhões em caso de descumprimento.
Fonte: Miraí Broadcast