Ataque de engenharia social a fornecedor de saúde no local de trabalho atinge 270.000

Um ataque de engenharia social a um prestador de cuidados de saúde no local de trabalho deixou mais de 270.000 funcionários e seus familiares enfrentando a potencial exposição das suas informações pessoais e médicas mais sensíveis.

A Marathon Health, que opera clínicas de atenção primária presenciais, próximas e virtuais para clientes empregadores, divulgou uma violação decorrente de um incidente de 24 de agosto. Um indivíduo não autorizado se passando por funcionário da Marathon IT obteve as credenciais de login de um funcionário e as usou para acessar e exportar dados de um aplicativo hospedado na nuvem.

A invasão durou apenas algumas horas, mas demorou até 9 de setembro para confirmar que as informações pessoais haviam realmente sido obtidas. Os avisos por escrito aos indivíduos afetados foram enviados no final de outubro, cerca de dois meses após a data da violação, dentro do período de notificação de 60 dias da HIPAA, mas num intervalo significativo, dado que os números da Segurança Social e os registos de saúde estavam entre os dados em risco.

Os registros do procurador-geral do estado confirmaram pelo menos 272.467 indivíduos em 14 estados em 30 de outubro, incluindo 234.534 residentes no Texas, 29.075 em Massachusetts e 8.858 em Vermont. Um total confirmado em todos os estados ainda não foi publicado pela Marathon Health ou postado no portal do Escritório de Violação dos Direitos Civis do HHS, onde as atualizações para incidentes divulgados recentemente normalmente demoram várias semanas.

A carta de notificação de violação lista nomes, datas de nascimento, informações de contato e números de Seguro Social como dados potencialmente envolvidos. Os registros da State AG indicam que registros de saúde e informações de seguro saúde também podem estar no escopo de alguns indivíduos.

O modelo de fornecedor no centro da violação

A posição da Marathon Health no ecossistema de benefícios para empregadores é o que torna esta violação notável além do seu tamanho. Ao contrário de uma seguradora de saúde ou gerente de benefícios de farmácia distante do funcionário, a Marathon Health opera a relação real de prestação de cuidados. Os funcionários que usavam uma clínica local ou próxima compartilhavam informações de saúde e identidade diretamente com um fornecedor cujas práticas de segurança de dados estavam fora do controle do empregador.

As cartas de notificação enviadas aos indivíduos afetados levam o nome da Marathon Health, e não o do empregador. Isso significa que o cliente empregador pode tomar conhecimento da violação pela mesma carta que seus funcionários recebem.

O mecanismo por trás da violação está bem documentado como um dos principais vetores de ameaça. A análise da Paubox dos dados de violação do HHS de 2025 descobriu que o roubo de credenciais por meio de controle de caixas de correio impulsionado por phishing expôs mais de 630.000 indivíduos somente naquele ano, tornando-se a categoria mais prejudicial de violação de saúde baseada em e-mail por impacto, apesar de representar menos de 20% do total de incidentes. O incidente da Marathon Health se enquadra na mesma categoria ampla de comprometimento de credenciais por meio de falsificação de identidade, em vez de exploração técnica, embora o vetor específico tenha sido a falsificação de identidade de um funcionário de TI, em vez de um e-mail de phishing.

O empregador não causou a violação, mas os funcionários estão recebendo cartas de notificação relacionadas a um benefício de saúde no local de trabalho. À medida que o aumento das violações de fornecedores de cuidados de saúde aguçou o escrutínio sobre o que se espera que os patrocinadores dos planos saibam sobre as práticas de dados dos seus fornecedores, o incidente da Marathon Health acrescenta-se a um conjunto crescente de casos em que o caminho da violação passou por uma relação de prestação de cuidados ou benefícios de terceiros, em vez de através do próprio plano. A violação do MedImpact PBM no início deste ano seguiram a mesma estrutura, com os funcionários afetados recebendo notificações que faziam referência ao plano de saúde de seu empregador.

A Marathon Health está oferecendo 12 a 24 meses de monitoramento de identidade gratuito por meio do Epiq Monitoring Solutions, cobrindo monitoramento de crédito, consulta sobre fraude e restauração de roubo de identidade.

Source link