Para: beneficiários do Medicaid e do DC Healthcare Alliance em Washington, DC (desde 2023), e qualquer pessoa em um órgão governamental ou empresa que publique relatórios estatísticos, planilhas ou painéis na web. Este artigo é baseado em o aviso oficial do Department of Health Care Finance (DHCF).
O que os membros devem fazer hoje
Verifique se você recebeu uma carta do DHCF
O DHCF está enviando cartas individuais às pessoas afetadas. As afetadas são beneficiárias do Medicaid e do DC Healthcare Alliance (um programa de cobertura de saúde financiado pelo Distrito de Columbia).
Para dúvidas, ligue para a linha gratuita 1-833-687-5424 indicada no aviso do DHCF. Se alguém ligar ou enviar e-mail pedindo seus dados "sobre o incidente", desligue e ligue para esse número você mesmo.
Procure atendimentos ou receitas que você nunca recebeu
Os dados expostos incluíam números de ID do Medicaid e datas de nascimento. Eles são usados no check-in e nas verificações de cobertura, por isso é razoável observar se alguém está usando sua cobertura (roubo de identidade médica).
Leia os avisos de seus prestadores e plano de saúde em busca de consultas ou receitas que você não reconhece. Se encontrar algum, ligue para a linha do DHCF e também pode denunciá-lo no site identitytheft.gov da Federal Trade Commission (identitytheft.gov).
Considere as verificações de crédito e os bloqueios que o DHCF recomenda
Segundo o aviso, nomes e números de Seguro Social não estavam incluídos. Ainda assim, o DHCF recomenda três medidas:
- Obtenha seus relatórios de crédito gratuitos em annualcreditreport.com e procure contas que você não abriu
- Coloque um alerta de fraude junto às agências de crédito
- Coloque um bloqueio de segurança com Equifax, Experian e TransUnion
O bloqueio é gratuito, e você pode suspendê-lo temporariamente quando solicitar crédito por conta própria.
Denuncie o roubo de identidade se o encontrar
O aviso do DHCF lista a FTC, o Office of the Attorney General do DC (202-727-3400) e as autoridades policiais como locais para denunciar suspeitas de roubo de identidade. Não responda a mensagens que usem as cartas ou a cobertura jornalística como motivo para pedir seu ID do Medicaid ou dados bancários.
O que aconteceu (segundo o aviso do DHCF)
O DHCF é o órgão que administra o Medicaid do DC. Ele publicou um "Notice of Data Incident" em seu site. As informações a seguir vêm desse aviso e de reportagens sobre sua comunicação ao HHS.
2023 a julho de 2026
Período em que os dois relatórios estiveram no site do DHCF. Eles mostravam apenas estatísticas resumidas.21 de julho de 2026
O DHCF tomou conhecimento de que os relatórios continham dados pessoais ocultos. Como ele soube disso não foi publicado.Após a descoberta
O DHCF removeu os relatórios de seu site e iniciou uma revisão para fortalecer os processos internos.3 de setembro de 2026
Relatório ao Office for Civil Rights do HHS listando 399.086 pessoas (segundo o HIPAA Journal). Cartas enviadas às pessoas afetadas.
- Dados
- Número de ID do Medicaid, data de nascimento, nome do prestador, raça, sexo, ward, etnia
- Não incluídos
- Nomes de beneficiários, números de Seguro Social, informações de contas financeiras
- Quem
- Beneficiários do Medicaid e do DC Healthcare Alliance; 399.086 pessoas na comunicação ao HHS
- Onde
- Em campos ocultos de dois relatórios publicados no site. Os relatórios foram criados para mostrar apenas estatísticas resumidas
- Formato do arquivo
- Não publicado (se Excel, PDF ou painel, e os nomes dos relatórios, não foram divulgados)
- Acesso real
- Descrito como acessível a pessoas sem autorização. Não foi publicado se alguém realmente retirou os dados
- Resposta
- Relatórios removidos; revisão dos processos internos iniciada; cartas enviadas às pessoas afetadas
- Contato
- Linha gratuita do DHCF 1-833-687-5424
O que diferencia este caso: nenhuma invasão, apenas um arquivo que o próprio órgão publicou
A maioria dos vazamentos de dados começa com alguém entrando em um sistema de fora. Aqui, os dados pessoais estavam dentro de relatórios estatísticos que o próprio DHCF publicou.
Conferir os números exibidos na tela não identifica esse tipo de problema. É preciso verificar o que há dentro do arquivo.
Dois relatórios publicados no site do DHCF (2023 – julho de 2026)
O que a tela mostrava
Apenas estatísticas resumidas
Campos ocultos no arquivo
Número de ID do Medicaid, data de nascimento, nome do prestador, raça, sexo, ward, etnia
↓ Acessível a pessoas sem autorização
399.086 pessoas afetadas (comunicação ao HHS)
Nomes, números de Seguro Social e informações de contas financeiras não estavam incluídos
O que ainda é desconhecido
Os nomes e formatos dos relatórios, como o DHCF descobriu o problema e se alguém realmente retirou os dados não haviam sido publicados até 3 de outubro. Atualizaremos este artigo se mais informações forem divulgadas.
Para quem publica relatórios, planilhas ou painéis
Como o DHCF não informou o formato de seus relatórios, esta seção cobre os três formatos comuns: onde dados de origem podem se esconder atrás dos totais e como verificar. Órgãos governamentais e empresas em todo o mundo publicam planilhas, e o mesmo tipo de incidente já ocorreu em outros lugares.
Um caso do Japão: uma lista antiga em planilhas ocultas (cidade de Okawa)
Em 20 de agosto de 2026, a cidade de Okawa, em Fukuoka, Japão, informou que uma lista em Excel de voluntários de bem-estar comunitário, publicada em dezembro de 2025, ainda continha planilhas ocultas. Ao reexibi-las, apareceram os nomes e telefones de 188 voluntários nomeados em 2013, 2016 e 2019. Uma consulta de um morador levou ao problema.
A cidade substituiu o arquivo por um PDF, mas depois constatou que, ao trocar a extensão da URL do PDF para .xlsx, a planilha original ainda era aberta, e então excluiu o arquivo do sistema de seu site. Um arquivo substituído pode continuar acessível em seu endereço antigo.
Onde os dados se escondem no Excel
Não visível, mas ainda no arquivo
- Linhas, colunas e planilhas ocultas (reexibi-las as traz de volta)
- Caches de tabelas dinâmicas (uma cópia dos dados de origem; clicar duas vezes em um total traz as linhas de origem)
- Texto em branco, fórmulas que apontam para outras planilhas, nomes definidos
- Comentários e propriedades do documento, como nomes de autores
- Conexões de dados externas e modelos de dados (Power Query, Power Pivot)
Como encontrar e remover
- Arquivo → Informações → Verificar se há Problemas → Inspecionar Documento encontra e remove linhas, colunas, planilhas e comentários ocultos
- Em Opções de Tabela Dinâmica → Dados, desmarque "Salvar dados de origem com o arquivo" e "Habilitar mostrar detalhes"
- Mais confiável: colar apenas valores em uma nova pasta de trabalho
O Inspecionar Documento ajuda, mas não necessariamente limpa tudo nos caches de tabelas dinâmicas ou nos modelos de dados. Criar o arquivo público apenas a partir de totais é mais seguro do que limpar uma pasta de trabalho que já continha dados pessoais.
Passos antes de publicar
Crie o arquivo público separadamente dos dados de origem
Não publique seu arquivo de trabalho depois de ocultar ou excluir partes dele. Crie um arquivo público separado: uma exportação em CSV apenas com as colunas necessárias, ou uma nova pasta de trabalho com valores colados. Linhas de origem e planilhas ocultas nunca entram nele.
Como a cidade de Okawa decidiu em suas medidas de prevenção, publicar em PDF ou HTML é uma opção. Mesmo em PDF, porém, uma caixa preta desenhada sobre o texto pode deixar o texto por baixo copiável. Use o recurso de redação do seu editor de PDF.
Suprima células com contagens pequenas
Mesmo uma tabela de totais pode identificar uma pessoa quando uma célula representa uma ou duas pessoas para determinado ward, faixa etária e sexo. O US Centers for Medicare & Medicaid Services (CMS) tem a política de não publicar células de 1 a 10 pessoas. Antes de publicar, substitua contagens pequenas por algo como "menos de 11".
Conecte painéis públicos apenas a dados agregados
Em ferramentas de painel como Power BI ou Tableau, a tela pode mostrar um gráfico enquanto todo o conjunto de dados subjacente é enviado ao navegador, ou pode ser extraído pelos recursos "mostrar dados" ou "baixar". Filtrar dados para fora da vista não é o mesmo que removê-los.
Conecte painéis públicos apenas a um conjunto de dados agregado, sem linhas por pessoa, e desative o download de dados se não for necessário. O "Publicar na web" do Power BI torna um relatório visível para qualquer pessoa com o link.
Abra o arquivo como uma pessoa de fora faria
Logo após publicar, baixe o arquivo em um navegador no qual você não esteja conectado e abra-o como um estranho faria. Para uma planilha, reexiba todas as abas e execute o Inspecionar Documento; para um painel, use as ferramentas de desenvolvedor do navegador (aba Rede) para ver quais dados realmente chegam.
Pedir que alguém diferente do autor faça essa verificação facilita identificar o que o autor deixou passar.
Revise os arquivos publicados regularmente
Os relatórios do DHCF ficaram online por quase três anos, desde 2023. Mantenha uma lista dos arquivos em seu site e verifique novamente o conteúdo pelo menos uma vez por ano. Ao substituir ou excluir um arquivo, confirme que o arquivo antigo não abre mais em seu URL antigo.
A melhor solução é não trazer dados por pessoa para um relatório público, para início de conversa. Tratar apenas as colunas e o nível de detalhe de que você precisa é o que o GDPR da UE chama de "minimização de dados" (O que é o GDPR?). Para dados tornados públicos por configurações de compartilhamento, veja exposição de armazenamento em nuvem pública; para arquivos deixados em pastas públicas, veja segredos em diretórios públicos.
Fontes (registro público)
Os fatos deste artigo vêm das seguintes fontes públicas. Não presumimos o formato do arquivo nem como o problema foi descoberto.
- District of Columbia Department of Health Care Finance (DHCF), "Notice of Data Incident" — dhcf.dc.gov
- HIPAA Journal (número de pessoas e data da comunicação ao Office for Civil Rights do HHS) — hipaajournal.com
- Cidade de Okawa, aviso sobre um possível vazamento de dados pessoais do site da cidade (20 de agosto de 2026, em japonês) — city.okawa.lg.jp
Histórico de atualizações
2026-10-03: Primeira versão, com base no aviso do DHCF e em reportagens sobre sua comunicação ao HHS. Atualizaremos se o formato dos relatórios ou novas descobertas forem publicados.
Leia a seguir
- IDs de membros do Medi-Cal: Vazamento de dados da Paradigm Healthcare Services
- Incidentes de saúde nos EUA: Vazamentos de dados de saúde nos EUA (2026)
- Incidentes governamentais: Vazamentos de dados governamentais (2026) / Departamento de Parques e Vida Selvagem do Texas
- Exposição por configurações: Exposição de armazenamento em nuvem pública / Segredos em diretórios públicos
- Outros incidentes de 2026: lista de vazamentos e ataques cibernéticos (Japão e mundo)