Para: membros atuais e antigos da DentaQuest nos EUA, pais de membros menores de idade e qualquer pessoa que administre login, MFA ou uma central de suporte em uma organização. Este artigo se baseia nas fontes públicas abaixo e não aborda técnicas de ataque.
- Aviso da própria DentaQuest e cartas às pessoas afetadas
- Seus relatórios às procuradorias-gerais estaduais dos EUA
- Orientações do governo dos EUA (FTC, IRS, Medicare, CISA)
O que os membros afetados devem fazer hoje
Confirme se você foi afetado — use apenas o número da sua carta
A DentaQuest começou a enviar cartas em 17 de julho de 2026. Foram registradas versões separadas para adultos, menores de idade e pessoas falecidas. A empresa também publicou as mesmas informações em seu site para pessoas que não conseguiu contatar. Se tiver dúvidas, a central de atendimento dedicada é o (844) 959-7163, de segunda a sexta-feira, das 8h às 17h30 (horário Central). Como os dados incluem números de telefone e endereços, não confie em ligações ou mensagens que digam ser da DentaQuest e pedem para "confirmar" seu SSN ou número de membro; ligue para o número impresso na sua carta (veja O que é phishing?).
Inscreva-se no monitoramento de identidade gratuito antes do prazo
A carta oferece 24 meses de monitoramento de identidade sem custo, incluindo monitoramento de crédito, consultoria em fraudes e restauração em caso de roubo de identidade. Ela diz que você tem 90 dias a partir da data de envio da carta para se inscrever, usando o código de ativação que consta nela. O monitoramento avisa depois que a fraude acontece; o passo seguinte, o congelamento de crédito, é o que impede a abertura de novas contas.
Congele seu crédito na Equifax, Experian e TransUnion
A FTC diz que, enquanto o congelamento de crédito estiver ativo, ninguém pode abrir uma nova conta de crédito em seu nome. Ele é gratuito, não afeta sua pontuação de crédito e permanece até você removê-lo. É preciso contatar os três bureaus separadamente. Quando precisar de crédito, você pode suspendê-lo temporariamente no bureau que o credor usa. O alerta de fraude é uma opção mais leve que pede aos credores que verifiquem sua identidade primeiro; o alerta inicial dura um ano.
Obtenha um Identity Protection PIN do IRS
Um IP PIN é um número de seis dígitos que, segundo o IRS, impede que outra pessoa envie uma declaração de imposto usando seu SSN. Qualquer pessoa com SSN ou ITIN que consiga comprovar sua identidade pode se inscrever, mesmo que não seja obrigada a declarar imposto. O caminho mais rápido é sua conta online do IRS. Pais e responsáveis também podem solicitar um para dependentes.
Leia sua Explicação de Benefícios e acompanhe seu número do Medicaid ou do Medicare
A FTC descreve o roubo de identidade médica como alguém usar seu nome, SSN, número de seguro saúde ou número do Medicare para obter atendimento ou enviar cobranças. Sinais de alerta incluem uma conta ou Explicação de Benefícios por atendimento que você não recebeu, ou um agente de cobrança ligando sobre uma dívida médica que você não deve. Se você acha que alguém está usando seu número do Medicare, o Medicare orienta ligar para 1-800-MEDICARE (1-800-633-4227), e nunca ligará sem solicitação para pedir informações pessoais. Para um número do Medicaid, vale a orientação da FTC: entre em contato com o plano de saúde e com os prestadores onde suas informações possam ter sido usadas e peça os registros. Fraudes no Medicare e no Medicaid também podem ser denunciadas à linha direta do Office of Inspector General do HHS (1-800-HHS-TIPS).
Pais: congelem também o crédito do filho
A DentaQuest enviou uma carta separada para menores de idade, de modo que crianças estão entre as pessoas notificadas. A FTC diz que, se seu filho tiver menos de 16 anos, você pode solicitar um congelamento de crédito gratuito em nome dele; ele permanece ativo até que você peça aos bureaus para removê-lo, e cada bureau tem seu próprio processo para menores. Para um IP PIN de criança com menos de 18 anos, o IRS diz que é preciso usar uma de suas opções alternativas de inscrição.
Se algo for usado indevidamente, faça um plano de recuperação em IdentityTheft.gov
Se encontrar uma conta, declaração de imposto ou cobrança médica que você não fez, denuncie em IdentityTheft.gov. O site da FTC pergunta o que aconteceu e monta um plano pessoal de recuperação. A carta da DentaQuest também orienta procurar a polícia local se você suspeitar de roubo de identidade.
SSN + nome + data de nascimento
↓→
Novo crédito, declarações falsas de imposto
→ Congelamento de crédito nos três bureaus + IRS IP PIN
Número do Medicaid / Medicare / de membro
↓→
Atendimentos ou cobranças em seu nome
→ Leia cada Explicação de Benefícios; ligue para 1-800-MEDICARE ou para seu plano
Nome + endereço + prestador e diagnóstico
↓→
Ligações e cartas convincentes
→ Desligue; ligue para o número da sua carta ou do seu cartão
O que aconteceu (segundo o aviso da DentaQuest e os relatórios estaduais)
Tudo o que está abaixo é o que a DentaQuest declarou em seu aviso público, em suas cartas às pessoas e em suas cartas à Procuradoria-Geral do Estado de Washington, ou o que foi listado por órgãos reguladores estaduais.
17 de maio de 2026
O incidente começou, segundo a empresa.19 de maio
Segundo o relatório de Washington, toda a atividade do agente não autorizado terminou. (O aviso público diz que o incidente terminou "até 20 de maio".)20 de maio
A DentaQuest tomou conhecimento de um terceiro não autorizado que afirmava ter seus dados, e adotou medidas de contenção. Uma empresa externa de perícia forense foi contratada por meio de escritório de advocacia externo.21 de maio
A empresa informou o FBI.26 de maio
A DentaQuest publicou pela primeira vez seu aviso de violação de dados em seu site.29 de maio
A empresa soube que os dados haviam sido publicados na dark web.16–17 de julho
Relatórios às procuradorias-gerais estaduais citando mais de 15 milhões de pessoas; a empresa diz que também notificou o Escritório de Direitos Civis do HHS. Cartas enviadas a partir de 17 de julho.3 de agosto
Relatório atualizado à Procuradoria de Washington: mais de 27,4 milhões de pessoas em todo o país; a análise está em andamento.
- Quem
- DentaQuest LLC, que trabalha com planos de saúde para oferecer benefícios odontológicos e de visão. As pessoas afetadas incluem membros, prestadores e outras pessoas ligadas à DentaQuest, além de pessoas cujo plano já trabalhou com a empresa
- Dados envolvidos
- Nome, endereço, data de nascimento, número de Seguridade Social, número de identificação do membro, número do plano de saúde, números do Medicaid e do Medicare, e informações de saúde odontológica ou de visão (nome do prestador, diagnóstico, tratamento, cobrança). Varia por pessoa
- Como o acesso ocorreu (relatório de Washington)
- Um ataque de engenharia social levou um único funcionário a fornecer credenciais e um código de autenticação multifator. Os dados foram retirados de um compartilhamento de arquivos da rede
- O que a investigação não encontrou
- Nenhuma evidência de outras contas comprometidas, malware ou ransomware, escalonamento de privilégios ou persistência; sistemas operacionais não foram afetados, segundo o relatório
- Publicado na internet
- As cartas dizem que as informações da pessoa foram "acessadas e publicadas na internet"
- Medidas da empresa
- Controles reforçados de segurança e monitoramento, treinamento adicional para funcionários, especialistas externos em cibersegurança
- Contato
- (844) 959-7163, seg.–sex. 8h–17h30 (horário Central)
Como ler os números
A contagem cresceu à medida que a análise avançou: mais de 15 milhões nos relatórios de 16 de julho, mais de 27,4 milhões na atualização de 3 de agosto, e a empresa diz que a análise está em andamento. Outros números que circulam na internet vêm de análises externas ou da parte que retirou os dados; este artigo usa apenas os relatórios da própria empresa. Se você é membro e não recebeu uma carta, isso por si só não prova que você não foi incluído.
Por que um código não bastou e o que teria impedido o ataque
O relatório não diz qual tipo de MFA a DentaQuest usava, e este artigo não faz suposições. O que ele diz já basta para uma lição geral: o segundo fator era algo que uma pessoa podia entregar.
Fatores que uma pessoa pode entregar
- Senha (digitada, pode ser lida em voz alta)
- Código de uso único por SMS ou aplicativo (seis dígitos, pode ser lido em voz alta ou digitado na página errada)
- Aprovação por notificação push (um toque, pode ser aprovada por outra pessoa)
Fatores vinculados ao site real
- Passkey (FIDO/WebAuthn, em um celular ou computador)
- Chave de segurança FIDO2 (uma chave física)
- Cartão inteligente PKI (baseado em certificado)
As orientações da CISA classificam o MFA do mais forte ao mais fraco e chamam o MFA resistente a phishing de "o padrão ouro". A agência diz que a única forma resistente a phishing amplamente disponível é a autenticação FIDO/WebAuthn, e inclui os aplicativos de senha de uso único entre os vulneráveis a phishing.
A diferença é estrutural: uma passkey ou chave de segurança verifica qual site está pedindo antes de responder, por isso não há código que uma pessoa possa ler em voz alta, nem nada que um atacante possa capturar e digitar no site real. Como as opções se comparam para suas próprias contas é tratado em Como escolher a autenticação multifator e em O que é uma passkey?.
Visão deste site: a central de suporte faz parte do seu MFA
As organizações costumam implantar passkeys e deixar outra porta aberta: o processo para redefini-las. Se alguém que liga para a central de suporte dizendo "perdi meu celular" consegue registrar um novo fator depois de responder perguntas cujas respostas estão em um arquivo vazado (nome, data de nascimento, número de funcionário), o fator forte não impede de fato um invasor. Trate o processo de redefinição como um login:
- Verifique fora da ligação: desligue e ligue de volta para o número do diretório de RH, ou confirme com o gestor do funcionário por um canal separado.
- Nunca aceite "conhecimento" como prova: qualquer coisa em um arquivo de RH ou de membros pode vazar. Use verificação presencial, verificação por vídeo com a foto do crachá ou um dispositivo já registrado.
- Desacelere redefinições de alto risco: um novo fator em uma conta de administrador, financeira ou da central de suporte deve gerar um aviso aos outros dispositivos do usuário e ao gestor, além de uma breve espera antes de ficar utilizável.
- Comece pelas contas mais privilegiadas: coloque MFA resistente a phishing primeiro em administradores, equipe da central de suporte e quem pode acessar dados em massa (como um compartilhamento de arquivos); a CISA recomenda que administradores e outros alvos de alto valor sejam os primeiros a migrar.
Para organizações que guardam dados de membros ou pacientes
O relatório diz que os dados foram retirados de um compartilhamento de arquivos da rede. Esse detalhe vale a verificação no seu próprio ambiente, porque compartilhamentos de arquivos tendem a acumular exportações e relatórios que não têm dono.
Encontre exportações em massa em unidades compartilhadas
Pesquise compartilhamentos de arquivos e pastas em nuvem para planilhas e exportações que contenham SSNs, números de membro ou códigos de diagnóstico. Para cada uma, pergunte: quem precisa desse arquivo, e o mesmo trabalho poderia ser feito dentro do sistema de registro, onde o acesso é registrado e limitado?
Monitore o volume, não apenas os logins
Um login roubado que passou pelo MFA parece um login normal. O que se destaca é quanto uma conta lê. Configure um alerta no log de auditoria do servidor de arquivos ou do armazenamento em nuvem para uma conta que lê muito mais arquivos do que seu volume diário habitual, e encaminhe para alguém que possa suspender a conta naquele dia.
Planeje a notificação antes de precisar dela
A DentaQuest enviou cartas separadas para adultos, menores de idade e pessoas falecidas, e sua contagem cresceu à medida que a análise dos dados avançava. Decida com antecedência como identificaria pessoas a partir de um conjunto de arquivos e como alcançaria pessoas cujos dados de contato estejam desatualizados. A referência básica está em O mínimo de segurança para organizações.
Para outro caso em que a entrada se deu pelo engano de um funcionário, veja o incidente da Carnival Corporation, que também envolveu números de passaporte; para vazamento de números de documentos de identidade na Europa, veja o incidente da Odido.
Fontes (registro público)
Os fatos deste artigo vêm das fontes públicas abaixo. Números e alegações da parte que retirou os dados, e estimativas externas, não são usados.
- DentaQuest, Notice of Data Breach (publicado pela primeira vez em 26 de maio de 2026; atualizado em 16 de julho de 2026) — dentaquest.com (cópia arquivada)
- Cartas da DentaQuest à Procuradoria-Geral do Estado de Washington (aviso de 16 de julho de 2026 e atualização de 3 de agosto de 2026, com carta modelo) — Portal de violações da Procuradoria de Washington (PDF) / atg.wa.gov
- Procuradoria-Geral da Califórnia, listagem de violação da DentaQuest LLC com cartas de notificação para adultos, menores e falecidos — oag.ca.gov
- Departamento de Justiça do Oregon, relatórios de violação de dados (DentaQuest LLC, 15.000.000) — justice.oregon.gov
- FTC, Credit Freezes and Fraud Alerts — consumer.ftc.gov / What To Know About Medical Identity Theft — consumer.ftc.gov / IdentityTheft.gov
- IRS, Get an identity protection PIN — irs.gov
- Medicare, Your Medicare card e Reporting Medicare fraud and abuse — medicare.gov / medicare.gov
- HHS Office of Inspector General, Report Fraud, Waste, and Abuse — oig.hhs.gov
- CISA, Implementing Phishing-Resistant MFA (ficha técnica, outubro de 2022) — cisa.gov (PDF)
Histórico de atualizações
2026-10-19: Substituído o cartão de duração pelas datas do aviso oficial, distinguindo o fim de 19 de maio do relatório estadual da redação "até 20 de maio" do aviso. Horas exatas decorridas não são inferidas. O registro do incidente agora separa a primeira publicação em 26 de maio do envio de cartas a partir de 17 de julho. Esclarecido na descrição para busca, no resumo e na abertura que a contagem é o total da população afetada e que elementos de dados como SSNs e números de seguro variam por pessoa.
2026-09-30: Primeira versão, com base no aviso da DentaQuest (atualizado em 16 de julho de 2026), em seus relatórios às autoridades de Washington, Califórnia e Oregon (incluindo a atualização de 3 de agosto de 2026 de mais de 27,4 milhões de pessoas), e nas orientações da FTC, do IRS, do Medicare, do HHS-OIG e da CISA. A empresa diz que sua análise dos dados está em andamento; este artigo será atualizado se a contagem mudar.
Leia a seguir
- Outros casos de dados de saúde deste ano: Aesto Health (arquivamento de dados de saúde) / Medtronic (dispositivos médicos)
- Como escolher um segundo fator: Como escolher a autenticação multifator / O que é uma passkey?
- Como identificar golpes derivados: O que é phishing?
- Outro caso de 2026 que começou com um funcionário enganado: O incidente da Carnival Corporation (números de passaporte)
- Números de identificação vazados na Europa: O incidente da Odido (Países Baixos)
- Senhas: Como escolher um gerenciador de senhas
- Outros incidentes de 2026: lista de vazamentos e ciberataques (Japão e mundo)
- Para operadores: O mínimo de segurança para organizações