Para: pacientes nos EUA que usam um dispositivo médico Medtronic (um marca-passo, por exemplo) e suas famílias, e qualquer pessoa que lide com dados de pacientes de dispositivos médicos. Este artigo é baseado no comunicado oficial e no formulário da SEC da Medtronic, nos registros de procuradores-gerais estaduais dos EUA e na carta de notificação, e em informações públicas de agências dos EUA (FTC, IRS e regulamentos da FDA). Não aborda métodos de ataque.
O que pacientes com dispositivos devem fazer hoje
Não altere a forma como usa o dispositivo; leve suas dúvidas ao médico
Em sua atualização de 29 de junho de 2026, a Medtronic reiterou que o incidente não afetou a capacidade de qualquer dispositivo Medtronic operar com segurança e entregar a terapia pretendida. Não há necessidade de alterar configurações do dispositivo nem de cancelar consultas por conta própria por causa da notícia da violação.
Se você está preocupado com o próprio dispositivo, converse com seu médico ou com a clínica. A empresa pede que médicos com dúvidas entrem em contato com o representante local da Medtronic.
Verifique sua carta para saber o que estava envolvido no seu caso
A empresa começou a contatar pessoas cujas informações podem ter sido afetadas em 29 de junho de 2026. A carta de notificação apresentada ao Procurador-Geral da Califórnia é endereçada a pacientes com um dispositivo médico Medtronic. Dúvidas devem ser enviadas ao (888) 289-6806 (de segunda a sexta-feira, das 9h às 21h, horário de Nova York).
Inscreva-se nos serviços gratuitos de 24 meses antes do prazo
A carta oferece 24 meses de monitoramento de crédito, monitoramento da dark web e serviços de recuperação de roubo de identidade gratuitos. O prazo de inscrição e o código de ativação estão impressos na sua própria carta. O monitoramento informa depois que algo acontece, então combine-o com o próximo passo.
Proteja o SSN: bloqueie o crédito nos três bureaus e obtenha um IRS IP PIN
O bloqueio de crédito é gratuito e deve ser feito em cada um dos bureaus Equifax, Experian e TransUnion. Um IRS IP PIN é um número de seis dígitos que impede que outra pessoa entregue uma declaração de imposto usando seu SSN. Para a lista completa dos EUA, incluindo crianças e familiares, veja o que os membros da DentaQuest devem fazer.
Estavam envolvidas informações relacionadas à saúde, então leia seus extratos de benefícios
A FTC indica como sinais de roubo de identidade médica um boleto ou extrato de Explicação de Benefícios (Explanation of Benefits) por serviços que você não recebeu, ou um cobrador ligando sobre uma dívida médica que você não deve. Se encontrar algo assim, a orientação é solicitar cópias dos seus registros aos prestadores e planos envolvidos e comunicar erros ao prestador por escrito.
Verifique qualquer ligação ou e-mail sobre 'seu dispositivo' retornando a ligação
Os dados expostos incluem informações de contato e de saúde, então o fato de você usar um dispositivo pode ser conhecido. Mensagens como "seu dispositivo precisa de atualização, confirme sua identidade" ou "precisamos do seu SSN para a garantia" soam credíveis porque quem as envia sabe isso.
A própria carta alerta as pessoas para desconfiarem de e-mails, mensagens de texto ou ligações inesperadas que pedem informações pessoais. Desligue e ligue para um número que você já possui: sua carta, o cartão de identificação do dispositivo ou a clínica do seu médico (veja o que é phishing?).
Sistemas corporativos de TI = acessados
Na notificação: nome, dados de contato, data de nascimento, SSN, informações relacionadas à saúde
Redes separadas, segundo a empresa
Produtos (dispositivos)
Nenhum impacto identificado na operação segura e na terapia
Fabricação e distribuição
Nenhum impacto identificado
Redes hospitalares
Gerenciadas pelas equipes de TI dos próprios hospitais
O que os pacientes fazem
Continuar usando o dispositivo → proteger os dados vazados (SSN, dados de contato) com bloqueios de crédito e ligando de volta para números oficiais
O que aconteceu (a partir das declarações da Medtronic e dos registros estaduais)
O texto a seguir é baseado no comunicado oficial da Medtronic (24 de abril de 2026, atualizado em 29 de junho) e no formulário da SEC, na carta de notificação apresentada ao Procurador-Geral da Califórnia e na lista de violações do Procurador-Geral de Indiana.
13 de abril de 2026
Segundo a carta de notificação, a data em que um agente não autorizado começou a acessar determinados sistemas corporativos de TI.15 de abril
A empresa toma conhecimento de atividade incomum em determinados sistemas corporativos de TI e inicia uma investigação com especialistas externos em cibersegurança.19 de abril
Segundo a carta de notificação, o último dia do período de acesso.24 de abril
A empresa publica seu comunicado e o anexa a um Formulário 8-K apresentado à SEC no mesmo dia. Ela afirma não ter identificado qualquer impacto em seus produtos, na segurança dos pacientes, nas conexões com clientes, na fabricação e distribuição, ou nos sistemas de relatórios financeiros.29 de junho
A empresa atualiza seu comunicado e começa a contatar as pessoas afetadas. As listagens de Indiana e da Califórnia trazem a mesma data.
- Empresa
- Medtronic Inc. (fabricante de dispositivos médicos dos EUA; sua controladora Medtronic plc apresenta documentos à SEC)
- O que foi acessado
- Dados em determinados sistemas corporativos de TI
- Informações envolvidas (carta de notificação)
- Nome, dados de contato, data de nascimento, número do Seguro Social (SSN), informações relacionadas à saúde
- Por que guardava os dados (carta de notificação)
- Para pacientes com um dispositivo Medtronic, coletados para fornecer atualizações importantes sobre o produto e cumprir obrigações legais
- Nenhum impacto identificado
- Segurança dos produtos; segurança dos pacientes, incluindo a capacidade de qualquer dispositivo operar com segurança e entregar a terapia; fabricação e distribuição; capacidade de atender às necessidades de pacientes e clientes
- Publicação
- A empresa afirma não ter evidências de que as informações tenham sido publicadas ou expostas na Internet
- Resposta da empresa
- Contenção, protocolos de resposta a incidentes, especialistas externos, salvaguardas adicionais. Afirma ter trabalhado com as autoridades policiais e estar notificando as autoridades reguladoras relevantes
- Contato
- (888) 289-6806 (de segunda a sexta-feira, das 9h às 21h, horário de Nova York)
Como ler os números e a geografia
Usamos 3.834.294, o número constante da lista do Procurador-Geral de Indiana. Números maiores circulam na internet, mas vêm da parte que afirma ter obtido os dados, e a empresa não os confirmou.
A empresa também não disse se pessoas fora dos EUA foram afetadas. As notificações e registros que encontramos são com autoridades estaduais dos EUA, e não encontramos um aviso dirigido a usuários de dispositivos no Japão.
Por que uma fabricante de dispositivos tem seu SSN?
Muitos pacientes vão perguntar por que uma empresa que não é o hospital deles tem seu número do Seguro Social. A própria carta de notificação responde em parte: os dados dos pacientes são coletados para fornecer atualizações importantes sobre o produto e cumprir obrigações legais.
Um pedaço desse contexto é o rastreamento de dispositivos nos EUA. Os regulamentos da FDA (21 CFR Parte 821) abrangem dispositivos sujeitos a uma ordem da FDA que atendam a critérios como ser implantado por mais de um ano, ou ter probabilidade de causar consequências graves à saúde caso falhe. Para esses casos, o fabricante deve conseguir rastrear o dispositivo desde a fábrica até o paciente.
O objetivo é fazer com que medidas como recalls e notificação de pacientes funcionem. Os registros exigidos incluem o nome, endereço, telefone e número do Seguro Social do paciente (se disponível), além do médico prescritor.
Essa é uma descrição geral das regras. A empresa não disse quais registros estavam nos sistemas afetados. Mas o quadro para os pacientes é claro.
Dados do paciente que o fabricante guarda, separados do dispositivo
- Nome, endereço, telefone (cadastro do dispositivo, cartão de identificação, garantia e suporte)
- Data de nascimento e SSN (registros de identidade e legais)
- Informações relacionadas à saúde (qual dispositivo você usa, por exemplo)
- Se expostos, podem ser usados para se passar por você e golpes que parecem bem informados
O próprio dispositivo
- Como o dispositivo funciona e entrega a terapia
- Fragilidades do dispositivo são tratadas pelas informações de segurança de produto do fabricante e pela sua clínica
- Aqui, a empresa afirma não ter identificado impacto na operação segura
- Uma lista de pacientes exposta não dá, por si só, a ninguém controle sobre um dispositivo
Visão deste site: em vez de cancelar o cadastro, impedir o uso indevido dos dados vazados
As regras da FDA permitem que um paciente recuse a divulgação de seu nome, SSN e outras informações de identificação para o rastreamento (21 CFR 821.55). Retirar-se é uma decisão a tomar com seu médico, não apenas com base na violação. O rastreamento existe para levar recalls e avisos de segurança até você, e o risco de um aviso não chegar até você, diferentemente do risco de um SSN exposto, não pode ser coberto por um bloqueio ou por um PIN.
Em vez disso, aja sobre cada tipo de dado que vazou.
・SSN: torne-o inútil com um bloqueio de crédito e um IRS IP PIN
・Dados de contato e de saúde: trate qualquer contato que mencione seu dispositivo como algo a ser verificado
・Dados de cadastro: mantenha-os atualizados sempre que mudar de endereço ou de número de telefone
Lembrar que a segurança do dispositivo é uma questão para o seu médico, enquanto os dados pessoais vazados são algo que você protege sozinho com bloqueios e passos semelhantes, ajuda a evitar o pânico.
Para fabricantes e empresas que guardam dados de pacientes
A empresa diz que suas redes de produtos, fabricação e TI corporativa são separadas. Esse é um desenho importante para a segurança dos dispositivos, mas os dados de pacientes afetados eram os dados guardados na TI corporativa. Para dados de pacientes que ficam fora do produto, três pontos merecem verificação.
Conte onde os dados dos pacientes ficam fora do produto
Cadastro do dispositivo, garantia, linhas de suporte, contas em aplicativos, estudos clínicos, marketing. Liste onde dados de pacientes, incluindo SSNs ou diagnósticos, ficam em locais que as revisões de segurança de produtos não cobrem.
A abordagem é a mesma de um inventário de segurança: comece anotando onde estão, quantos registros há e quem pode vê-los.
Separe onde o SSN é necessário de onde não é
Separe registros exigidos por lei de tarefas como ligações de suporte, que podem ser feitas com nome e número de série do dispositivo, e reduza o número de sistemas que guardam SSNs. Dados que você não guarda não podem vazar.
Prepare a resposta para 'meu dispositivo é seguro?' com antecedência
O comunicado da empresa tratou de impacto em produtos e segurança dos pacientes desde a primeira divulgação. Organizações com produtos voltados a pacientes devem presumir que, após um incidente de TI corporativa, a primeira coisa que os pacientes querem saber é se seus dispositivos são seguros, e devem estar preparadas para explicar a base da resposta (como a separação de redes).
Para a abordagem geral, veja a linha de base mínima de segurança para organizações.
Fontes (registros públicos)
Os fatos deste artigo são baseados nas informações públicas abaixo. Números divulgados pela parte que afirma ter obtido os dados, e estimativas externas, não são utilizados.
- Medtronic, "Medtronic statement on unauthorized system access" (24 de abril de 2026, atualizado em 29 de junho) — news.medtronic.com
- Medtronic plc, Formulário 8-K (24 de abril de 2026, Anexo 99.1) — sec.gov
- Procurador-Geral da Califórnia, listagem de violação da Medtronic Inc. (modelo de carta de notificação, 29 de junho de 2026) — oag.ca.gov
- Procurador-Geral de Indiana, "Data Breach Year to Date Report 2026" (Medtronic Inc: 3.834.294 afetados; notificações enviadas em 29 de junho de 2026) — in.gov
- Medtronic, "Product security" (informações de segurança de produtos e contatos) — medtronic.com
- Code of Federal Regulations, 21 CFR Parte 821 (Rastreamento de Dispositivos Médicos: 821.1, 821.25, 821.55) — ecfr.gov
- Federal Trade Commission, "What To Know About Medical Identity Theft" — consumer.ftc.gov / "Credit Freezes and Fraud Alerts" — consumer.ftc.gov / IdentityTheft.gov
- Internal Revenue Service, "Get an identity protection PIN" — irs.gov
Histórico de atualizações
2026-09-30: Primeira versão, baseada no comunicado da Medtronic (24 de abril de 2026, atualizado em 29 de junho) e no formulário da SEC, em informações públicas dos procuradores-gerais da Califórnia e de Indiana, em orientações da FTC e do IRS e nos regulamentos da FDA. Atualizaremos se a empresa publicar mais informações.
Leia em seguida
- A lista completa dos EUA (bloqueios, IP PIN, crianças): A violação da DentaQuest (SSNs e números do Medicaid)
- Onde mais denunciar quando um número de carteira de habilitação vaza: A violação da AssuranceAmerica (números de carteira de habilitação)
- Uma notificação de uma empresa com quem você nunca lidou: A violação da Aesto Health (um arquivo de prontuários médicos)
- Golpes que seguem uma violação: O que é phishing?
- Outros incidentes de 2026: Lista de vazamentos e ciberataques (Japão e mundo)
- Para operadores: A linha de base mínima de segurança para organizações / Inventário de segurança