Vazamento de dados da Aesto Health (9,5 milhões): por que uma empresa que você nunca ouviu falar enviou o aviso, e o que fazer

O aviso da Aesto informa que ele é fornecido em nome das entidades cobertas e tem uma seção que as identifica. A carta-modelo apresentada ao Procurador-Geral da Califórnia também é enviada pela Aesto em nome de um prestador cliente e nomeia esse prestador. Não descarte a carta só porque não conhece a empresa; procure o nome de um prestador que você realmente utilizou.

A linha dedicada é 833-918-8060 (de segunda a sexta-feira, das 8h às 20h, horário Central, exceto feriados nacionais dos EUA), e o aviso pede que você tenha o número de contratação em mãos. Os dados expostos incluem informações de contato e de seguro, então não confie em ligações ou e-mails que digam "aqui é a Aesto" ou "sobre os registros arquivados do seu hospital" e pedem seu SSN ou número de conta (veja o que é phishing?).

Na carta-modelo apresentada na Califórnia, o prestador cliente oferece uma associação gratuita de 12 meses de monitoramento de crédito. Como é o prestador que oferece, os detalhes e o prazo podem variar de carta para carta. Siga as etapas de inscrição e o prazo da sua própria carta.

O bloqueio de crédito é gratuito e precisa ser feito em cada um dos bureaus Equifax, Experian e TransUnion.

Um IRS IP PIN é um número de seis dígitos que, segundo o IRS, impede que outra pessoa envie uma declaração de imposto de renda usando seu SSN ou ITIN. Os ITINs estão na lista de dados expostos aqui, então isso vale também para quem declara com ITIN. O IP PIN é válido por um ano-calendário, e um novo é gerado a cada ano. Para a lista completa de providências nos EUA, incluindo crianças, veja o que os membros da DentaQuest devem fazer.

A FTC lista uma cobrança ou um extrato de Explicação de Benefícios por serviços que você não recebeu, ou um cobrador ligando sobre uma dívida médica que você não deve, como sinais de roubo de identidade médica. O aviso da Aesto também sugere revisar seus extratos EOB, verificar com seu plano ou prestador qualquer item que você não reconheça e, se necessário, pedir cópias dos registros médicos desde a data do possível acesso até o presente.

Um número de carteira de motorista pode ser usado de formas que um bloqueio de crédito não cobre. A orientação da FTC para entrar em contato com a agência estadual de veículos automotores é explicada em a violação da AssuranceAmerica. Se um número de conta financeira estiver envolvido, revise seus extratos e avise seu banco.

Migrações de prontuário eletrônico e de faturamento, arquivos legados de registros, serviços de faturamento, digitalização de documentos. Liste todo fornecedor que guarda dados de pacientes, independentemente do departamento que assinou o contrato, e para cada um anote por quantos anos e quantas pessoas, quais campos (incluindo SSNs ou números de conta) e em qual nuvem.

Em um incidente que atinge muitos prestadores clientes, como este, essa lista é o ponto de partida para descobrir se você foi afetado. A abordagem é a mesma de um inventário de segurança.

Confirme os prazos de retenção exigidos por lei e por contrato, e inclua um procedimento para excluir registros após seu prazo no contrato e nas operações.

As normas federais exigem que os contratos com associados comerciais prevejam que, ao término, o associado comercial devolverá ou destruirá, quando viável, todas as informações de saúde protegidas e não manterá cópias (45 CFR 164.504(e)(2)(ii)(J)). Quando um contrato termina, confirme que a devolução ou a destruição realmente aconteceu.

Ao mover registros de um sistema antigo, pergunte campo a campo se SSNs e números de conta realmente precisam ir também. Eliminar campos que não são necessários para consulta reduz o que pode vazar. Para retenção e backups em geral, veja noções básicas de backup.

A empresa afirma que confirmar as informações envolvidas exigiu uma revisão manual de documentos. Se você sabe quais arquivos guardam os registros de quais pessoas e quais campos de tudo o que foi entregue, pode identificar as pessoas afetadas mais rapidamente após um incidente e planejar como alcançar quem tem dados de contato desatualizados. Para a abordagem geral, veja a base mínima de segurança para organizações.