Para: pessoas que receberam um aviso de vazamento de dados da Dexcom e usuários de produtos da Dexcom que querem saber se são afetados. Este artigo se baseia na declaração da própria Dexcom e nos avisos que ela registrou na Procuradoria-Geral da Califórnia e não trata de etapas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
- Quem é afetado
pessoas que receberam um aviso de vazamento de dados da Dexcom e usuários de produtos da Dexcom que querem saber se são afetados.
- Confirmado até agoraVer a tabela ↓
- Acesso não autorizado a documentos internos
- Documentos publicados em um site ilícito
- Produtos e operações da Dexcom
Mais 1
- Oferta de monitoramento de crédito
Apontado como possivelmente afetado
- Nome
- Número de Social Security, data de nascimento, informações de documento de identidade governamental
- Endereço e informações de saúde (farmácia, profissional de saúde, data de nascimento, número da receita, certos diagnósticos, indicação de ser usuário da Dexcom)
- Ainda não confirmado
- O número de pessoas afetadas (não informado pela empresa nem no registro)
- Qual aviso vai para qual grupo de pessoas (os avisos não dizem)
- Se usuários fora dos Estados Unidos são afetados (não informado)
Mais 1
- Os arquivos e as categorias de dados exatos envolvidos, além das listas dos dois avisos de exemplo
- O que fazer agoraVer os passos ↓
- Confira quais dados sua carta lista
- Se sua carta lista um número de Social Security: ative a oferta de monitoramento e olhe seus relatórios de crédito
- Se sua carta lista informações de saúde: confira os extratos e espere contatos falsos convincentes
Mais 2
- Verifique qualquer ligação, mensagem ou e-mail sobre isso por um número que você mesmo procurar
- Continue usando seus dispositivos como antes
- Onde verificar (fonte)Todas as fontes ↓
- Dexcom, "Dexcom Cybersecurity update" (declaração oficial de 10 de outubro de 2026, com a atualização de 12 de novembro; consultada em 15 de novembro; em inglês)
- Última verificação
- Em 15 de novembro de 2026
Próximos avisos e o que verificamos
A empresa diz que sua investigação está concluída e que está encerrando o incidente, continuando a monitorar seus sistemas (declaração de 12 de novembro). Não disse que publicará mais. Consultamos a página da empresa em 15 de novembro e não encontramos declaração mais recente que a de 12 de novembro.
O que fazer hoje
Confira quais dados sua carta lista
Os dois avisos de exemplo no site da Procuradoria-Geral da Califórnia são diferentes. Um lista nome, número de Social Security, data de nascimento e informações de documento de identidade governamental. O outro lista nome, endereço e informações de saúde que podem incluir farmácia preferida, profissional de saúde, data de nascimento, número da receita, certos diagnósticos e outras informações limitadas de saúde. Os avisos não dizem quem recebe qual, então leia a lista na sua própria carta. Se você não recebeu carta, nada publicado diz que você é afetado, mas a empresa também não divulgou um número de pessoas.
Se sua carta lista um número de Social Security: ative a oferta de monitoramento e olhe seus relatórios de crédito
Esse aviso oferece uma assinatura gratuita de dois anos com monitoramento de crédito, consultoria sobre fraudes e restauração de identidade roubada por meio de um provedor de monitoramento. Diz que se inscrever não afeta sua pontuação de crédito. O monitoramento de crédito exige que você tenha mais de 18 anos, crédito consolidado nos EUA, um número de Social Security em seu nome e um endereço residencial nos EUA, então pode não ser utilizável de fora dos Estados Unidos. Use o site e o número de assinatura impressos na sua carta e o prazo da sua carta (o exemplo o deixa em branco). Os passos do próprio aviso são revisar os extratos das suas contas e os relatórios de crédito gratuitos (annualcreditreport.com, 1-877-322-8228 nos EUA) e, se suspeitar de uso indevido, contatar a Federal Trade Commission, a polícia local ou a procuradoria-geral do seu estado. Explica também os alertas de fraude e os congelamentos de segurança gratuitos nos três birôs de crédito dos EUA.
Se sua carta lista informações de saúde: confira os extratos e espere contatos falsos convincentes
Esse aviso diz que o incidente não envolveu seu número de Social Security, números de cartão de crédito ou débito nem outras informações financeiras. Indica os mesmos passos: revisar os extratos das contas e os relatórios de crédito e relatar cobranças não autorizadas à sua instituição financeira. Dados de farmácia, de profissional de saúde e de receita são o tipo de fato que um falso interlocutor pode usar para soar genuíno (um ponto geral, não algo que a empresa tenha relatado). Não forneça data de nascimento, número de receita ou número de cartão a quem entrou em contato com você primeiro.
Verifique qualquer ligação, mensagem ou e-mail sobre isso por um número que você mesmo procurar
A Dexcom diz que o incidente veio de vishing direcionado, então as ligações são a via com a qual ter cuidado. Se alguém ligar sobre sua conta Dexcom ou suas receitas, desligue e ligue para o número da empresa que está na carta, no site ou nos seus próprios registros. Os avisos trazem (844) 971-8641, de segunda a sexta, das 8h às 17h30 (horário central dos EUA), exceto grandes feriados dos EUA.
Continue usando seus dispositivos como antes
A empresa diz que seus produtos continuam seguros e em pleno funcionamento e que o incidente não teve impacto sobre seus produtos nem suas operações (declarações de 10 de outubro e 12 de novembro). Nenhuma das declarações pede que os usuários mudem configurações do dispositivo ou redefinam uma senha da Dexcom. Desconfie de qualquer mensagem que diga o contrário. Nossa orientação geral sobre contatos falsos está em O que é phishing.
O que aconteceu (segundo a declaração e os avisos da Dexcom)
Esta seção segue a página de atualização de cibersegurança da Dexcom (declaração de 10 de outubro, atualização de 12 de novembro) e os dois avisos de exemplo que ela registrou na Procuradoria-Geral da Califórnia. São relatos da própria empresa e não foram verificados por um terceiro.
10 de outubro
Primeira declaração da Dexcom: identificou um incidente de cibersegurança que resultou em acesso não autorizado a informações limitadas de certos documentos internos após eventos de vishing direcionado. Disse que ativou seus protocolos de resposta a incidentes, contratou uma empresa forense de cibersegurança para uma investigação independente e conteve o incidente, e que não houve impacto sobre seus produtos, operações ou capacidade de atender clientes e parceiros.2 de novembro
A data do acesso não autorizado em si não foi divulgada. Esta é a data que os avisos dão para a determinação da empresa de que informações de uma pessoa podem ter sido envolvidas. A lista da Procuradoria-Geral da Califórnia mostra 2 de novembro de 2026 como a data da violação.12 de novembro
Atualização da Dexcom: o incidente resultou de ataques de vishing direcionados que levaram ao acesso não autorizado a certos documentos internos, depois publicados em um site ilícito. Uma pequena fração dos arquivos impactados continha informações pessoais. A empresa está avisando as pessoas afetadas e, com a investigação concluída, está encerrando o incidente.13 de novembro
Data do registro da Dexcom na lista da Procuradoria-Geral da Califórnia, com dois avisos de exemplo.
- Como aconteceu (palavras da empresa)
- Acesso não autorizado a certas contas de funcionários. A investigação determinou que um terceiro não autorizado obteve acesso por engenharia social e conseguiu baixar certos arquivos
- Contenção
- Revogou o acesso das contas comprometidas. A investigação não encontrou evidência de atividade não autorizada em curso
- Aviso 1: informações que podem ter sido envolvidas
- Um ou mais de: nome, número de Social Security, data de nascimento, informações de documento de identidade governamental
- Aviso 2: informações que podem ter sido envolvidas
- Nome, endereço e informações de saúde que podem incluir farmácia preferida, profissional de saúde, data de nascimento, número da receita, certos diagnósticos e outras informações limitadas de saúde, como a indicação de que você é usuário da Dexcom
- Não envolvidos (aviso 2)
- Número de Social Security, números de cartão de crédito ou débito, outras informações financeiras
- Oferta de monitoramento
- Somente o aviso 1: uma assinatura gratuita de dois anos, com monitoramento de crédito, consultoria sobre fraudes e restauração de identidade roubada, por meio de um provedor de monitoramento
- Uso indevido
- A empresa diz que não tem indício de que qualquer informação tenha sido usada indevidamente
- Contato
- (844) 971-8641, de segunda a sexta, das 8h às 17h30 (horário central dos EUA), exceto grandes feriados dos EUA (ambos os avisos)
O que se sabe e o que não se sabe
Situação em 15 de novembro de 2026. Atualizaremos a coluna de situação quando houver mais informações.
| Item | Conteúdo | Situação |
|---|---|---|
| Acesso não autorizado a documentos internos | Após vishing direcionado; arquivos baixados (avisos) | Confirmado (a empresa) |
| Documentos publicados em um site ilícito | A declaração de 12 de novembro diz que os documentos foram depois publicados | Confirmado (a empresa) |
| Nome | Listado em ambos os avisos | Possível (a empresa: pode ter sido envolvido) |
| Número de Social Security, data de nascimento, informações de documento de identidade governamental | Listados no aviso 1 | Possível (a empresa: pode ter sido envolvido) |
| Endereço e informações de saúde (farmácia, profissional de saúde, data de nascimento, número da receita, certos diagnósticos, indicação de ser usuário da Dexcom) | Listados no aviso 2 | Possível (a empresa: pode ter sido envolvido) |
| Número de Social Security, números de cartão, outras informações financeiras (aviso 2) | O incidente não os envolveu | Não incluídos (a empresa) |
| Números de cartão no aviso 1 | Não listados | Não informado |
| Produtos e operações da Dexcom | Sem impacto; produtos seguros e em pleno funcionamento | Confirmado (a empresa) |
| Uso indevido das informações | Nenhum indício de uso indevido | Não confirmado (a empresa) |
| Número de pessoas afetadas | Não informado | Não informado |
| Quem recebe o aviso 1 e quem recebe o aviso 2 | Não informado | Não informado |
| Usuários fora dos Estados Unidos | Não informado | Não informado |
| Oferta de monitoramento de crédito | Somente o aviso 1 | Confirmado (a empresa) |
Como ler isto: os dois avisos tratam de dados diferentes, e o registro é um exemplo
Os dois avisos de exemplo são modelos registrados em um estado, com o nome do destinatário, a data e o prazo de ativação deixados como espaços reservados. Eles não dizem quantas pessoas receberam cada um, nem se uma pessoa pode receber ambos. Não presuma que um número de Social Security foi exposto só porque aparece em um aviso, nem que informações de saúde foram expostas para todos: cada carta diz que as informações podem ter sido envolvidas para a pessoa a quem é dirigida.
Como ler isto: o relato da empresa não foi verificado por um terceiro
A declaração e os avisos se apoiam na investigação da própria Dexcom, com o apoio de uma empresa externa de cibersegurança cujas conclusões não foram publicadas. A afirmação de que os documentos foram publicados em um site ilícito é a redação da empresa. Não tratamos de alegações de terceiros sobre o incidente.
O que pode acontecer quando dados de saúde e números de identidade são levados
Isto é o que pode acontecer em geral, não uma afirmação de que aconteceu aqui. A empresa diz que não tem indício de uso indevido.
Um número de Social Security, uma data de nascimento e informações de documento de identidade governamental juntos são o que alguém precisa para pedir crédito em nome de outra pessoa, e por isso o aviso indica relatórios de crédito, alertas de fraude e congelamentos de segurança. O nome de uma farmácia, o de um profissional de saúde, o número de uma receita e uma data de nascimento não abrem contas sozinhos, mas fazem uma ligação ou mensagem falsa parecer vir de uma farmácia, clínica ou fabricante de dispositivos. As pessoas podem ser instadas a confirmar uma receita, pagar uma taxa ou ler um código. Trate qualquer contato que comece com esses dados e peça algo a você como não verificado até conferir por um número que você mesmo procurou.
O que as organizações podem aprender
O relato da própria empresa é que a porta de entrada foi a engenharia social por telefone dirigida a funcionários, seguida de downloads de arquivos. A partir dos fatos que ela divulgou, e como avaliação deste site, e não uma avaliação da empresa: os funcionários que podem chegar a arquivos com dados de saúde ou de identidade de clientes precisam de uma forma de verificar quem liga que não dependa de quem liga (retorno da ligação para um número conhecido, um chamado em um sistema), o acesso a esses arquivos deve ser limitado e registrado, e documentos antigos com dados pessoais não devem ficar em locais amplamente acessíveis. Não descrevemos o ataque em si.
Fontes (registros públicos)
Os fatos deste artigo vêm dos registros públicos abaixo. Detalhes do ataque não são tratados.
- Dexcom, "Dexcom Cybersecurity update" (declaração oficial de 10 de outubro de 2026, com a atualização de 12 de novembro; consultada em 15 de novembro; em inglês) — dexcom.com
- Dexcom, Inc., página do relatório de violação de dados no site da Procuradoria-Geral da Califórnia (data da violação 2 de novembro de 2026, registrada em 13 de novembro de 2026; consultada em 15 de novembro) — oag.ca.gov
- Aviso de exemplo 1 (nome, número de Social Security, data de nascimento, informações de documento de identidade governamental; oferta de monitoramento; ELN-28926) — oag.ca.gov (PDF)
- Aviso de exemplo 2 (nome, endereço, informações de saúde; ELN-28930) — oag.ca.gov (PDF)
- Procuradoria-Geral da Califórnia, "Search Data Security Breaches" (entrada da lista para a Dexcom, Inc.) — oag.ca.gov
Histórico de atualizações
2026-11-15: Primeira versão. Com base na página de atualização de cibersegurança da Dexcom (declaração de 10 de outubro e atualização de 12 de novembro) e nos dois avisos de exemplo registrados na Procuradoria-Geral da Califórnia em 13 de novembro. A declaração e os avisos da empresa são tratados como fontes primárias. Atualizaremos quando houver mais informações.
Leia em seguida
- Vazamentos de dados médicos nos EUA neste ano: Vazamentos de dados de saúde nos EUA (2026): principais casos e como conferir um aviso
- O que fazer quando um número de identidade vazou: Vazamento de dados da carteira de habilitação: o que fazer
- Ligações e mensagens falsas: O que é phishing
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026