Para: pessoas que receberam um aviso sobre o vazamento de 2023 da Perry Johnson & Associates (PJ&A) e organizações de saúde que terceirizam transcrição, codificação ou cobrança. Este artigo se baseia nos comunicados de imprensa dos procuradores-gerais de Nova York, Connecticut e Nova Jersey e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
- Quem é afetado
pessoas que receberam um aviso sobre o vazamento de 2023 da Perry Johnson & Associates (PJ&A) e organizações de saúde que terceirizam transcrição, codificação ou cobrança.
- Confirmado até agoraVer a tabela ↓
- Pessoas afetadas
- Dados expostos
- Ainda não confirmado
- O comunicado de Michigan e seu número
- Como o documento do acordo trata a responsabilidade das empresas
- Números de afetados por organização de saúde cliente
Mais 1
- Se o acordo traz novos avisos ou apoio
- O que fazer agoraVer os passos ↓
- Confirme que seu congelamento de crédito continua ativo
- Confira seus extratos de benefícios em busca de atendimento que você não recebeu
- Parta do princípio de que diagnósticos e resultados de exames foram expostos e prepare-se para ameaças
Mais 2
- Desconfie de mensagens que usam o acordo como pretexto
- Pergunte ao provedor que avisou você por que essa empresa tinha seus dados
- Onde verificar (fonte)Todas as fontes ↓
- Procurador-Geral de Nova York, “Attorney General James Secures Up to $10 Million and Critical Reforms From Companies That Failed to Protect Private Medical Data” (6 de novembro de 2026)
- Última verificação
- Em 8 de novembro de 2026
Próximos avisos e o que verificamos
Os comunicados não dizem nada sobre informações de acompanhamento. Em 8 de novembro de 2026, este site havia confirmado os comunicados de Nova York, Connecticut e Nova Jersey. O comunicado de Michigan não pôde ser confirmado.
O que fazer hoje se você recebeu um aviso
Confirme que seu congelamento de crédito continua ativo
Números de Seguro Social estavam entre os itens expostos, então este é o passo mais eficaz. Você pode pedir um congelamento de segurança gratuito na Equifax, na Experian e na TransUnion. Se pediu um depois do aviso de 2023, confira se não foi levantado. A página da Comissão Federal de Comércio dos EUA (FTC) nas fontes explica como.
Confira seus extratos de benefícios em busca de atendimento que você não recebeu
Um nome, uma data de nascimento, informações de seguro e um número de conta hospitalar juntos podem ser usados para receber atendimento ou cobrar em nome de outra pessoa. Examine a explicação de benefícios da sua seguradora em busca de consultas, receitas ou equipamentos que você não reconhece. Se achar algum, fale com a seguradora e com o provedor listado.
Parta do princípio de que diagnósticos e resultados de exames foram expostos e prepare-se para ameaças
Os arquivos de transcrição incluíam resultados de exames e nomes de medicamentos. Se alguém disser conhecer seu diagnóstico e pedir dinheiro, não pague; fale com a FTC ou com a polícia. Os comunicados não dizem que algum contato assim tenha ocorrido. É algo que pode acontecer em geral, então prepare-se.
Desconfie de mensagens que usam o acordo como pretexto
Os comunicados não dizem que as vítimas serão pagas. Uma ligação ou mensagem sobre um “pagamento do acordo”, uma “verificação de conta” ou uma “taxa” é suspeita desde o momento em que chega sem ser pedida. Confira abrindo você mesmo o site oficial do procurador-geral do seu estado (como reconhecer: O que é phishing?).
Pergunte ao provedor que avisou você por que essa empresa tinha seus dados
Segundo o comunicado de Nova York, a PJ&A prestava serviços como codificação, cobrança e gravação a organizações de saúde em todo o país. Do ponto de vista do paciente, é uma empresa com a qual você nunca contratou. Você pode perguntar ao provedor que o atendeu ou avisou até onde seus dados foram compartilhados com seus contratados.
O que aconteceu (segundo os comunicados dos procuradores-gerais)
Esta seção se baseia nos comunicados de 6 de novembro de 2026 dos procuradores-gerais de Nova York, Connecticut e Nova Jersey. É a versão dos estados, não a das empresas. As empresas são Perry Johnson & Associates, Inc. (PJ&A), Perry Johnson, Inc. (PJI), Perry Johnson & Associates Coding, Inc., Perry Johnson & Associates Radiology, Inc. e Medical Transcription and Coding, Inc., que os comunicados chamam de “empresas Perry Johnson”.
Credenciais de um funcionário
Sem autenticação multifator no acesso remoto
↓→
Meses de acesso
Atividade registrada, sem alerta
↓→
Descoberta
Cerca de dois meses depois, quando os invasores entraram em contato
Esta é a versão dos estados, não a das empresas.
Março de 2023
Segundo os estados, os invasores usaram as credenciais de um funcionário da PJ&A Coding para acessar os sistemas da PJ&A.Meses seguintes
Os invasores coletaram senhas e acessaram arquivos sem criptografia (segundo os estados).Cerca de dois meses depois
A PJ&A só soube do vazamento quando os invasores entraram em contato (segundo os estados).6 de novembro de 2026
Os procuradores-gerais de quatro estados anunciaram o acordo.
- Empresas
- Perry Johnson & Associates, Inc. (PJ&A) e quatro empresas afiliadas
- Vazamento
- Março de 2023; cerca de 13,3 milhões de pessoas no país
- Números por estado
- Cerca de 4,2 milhões de nova-iorquinos; cerca de 539.669 em Nova Jersey; cerca de 107.960 em Connecticut. Michigan não confirmado
- Itens expostos
- Nomes, datas de nascimento, endereços residenciais, números de Seguro Social; números de conta hospitalar, diagnósticos, informações de seguro; informações clínicas de arquivos de transcrição (resultados de exames laboratoriais e diagnósticos, nomes de medicamentos)
- Valor do acordo
- Até US$ 10 milhões. Ao menos US$ 300.000 em multas aos estados; outros US$ 9.700.000 devidos aos estados se as empresas descumprirem os termos do acordo
- Valores por estado
- Nova York: ao menos US$ 100.000 em multas e custos. Connecticut: US$ 66.666. Nova Jersey: não informado em seu comunicado
- Tipo de documento
- O comunicado de Nova Jersey liga a um Assurance of Voluntary Compliance (compromisso de conformidade voluntária). Os outros comunicados não nomeiam o documento em seu texto
As causas que os estados citam
Os comunicados descrevem as condições a seguir. É a versão dos estados, não uma declaração das empresas.
| Item | Versão dos estados | Situação |
|---|---|---|
| Pessoas afetadas | Cerca de 13,3 milhões em todo o país | Afetadas (segundo os estados) |
| Dados expostos | Nome, data de nascimento, endereço, número do Seguro Social, número da conta hospitalar, diagnóstico, seguro e informações clínicas | Vazamento confirmado (estados) |
| Entrada | Foram usadas as credenciais de um funcionário da PJ&A Coding | Versão dos estados |
| Acesso remoto | A autenticação multifator não era exigida | Versão dos estados |
| Arquivos | Arquivos sem criptografia foram acessados; senhas foram coletadas | Versão dos estados |
| Monitoramento de logs | O software da PJI registrou a atividade mas não estava configurado para alertar a equipe de segurança | Versão dos estados |
| Descoberta | Cerca de dois meses depois, quando os invasores contataram a empresa | Versão dos estados |
| Como as credenciais foram obtidas | Não consta nos comunicados | Não informado |
| Retenção de dados como causa | Não é citada como causa; a retenção aparece apenas nas reformas exigidas | Não informado |
| Se as empresas admitiram uma violação | Não consta nos comunicados de Nova York nem de Connecticut | Não informado |
Como ler isto: um acordo não é uma decisão judicial de que a lei foi violada
A manchete do comunicado de Nova York descreve as empresas como tendo “Failed to Protect” (deixado de proteger) dados médicos privados, mas nenhum dos comunicados diz que as empresas violaram a lei ou que admitiram responsabilidade. Este site não afirma que as empresas violaram a lei além do que dizem os comunicados.
O que as empresas devem fazer
As reformas comuns aos comunicados são:
- Manter um programa abrangente de segurança da informação e um protocolo de resposta a incidentes
- Implantar salvaguardas e políticas de autenticação multifator, gestão de senhas, criptografia e gestão de ativos
- Fazer avaliações de risco anuais compatíveis com a HIPAA
- Manter políticas e procedimentos que disciplinem a coleta, o uso, a retenção e o descarte de informações pessoais de saúde
O comunicado de Nova Jersey não descreve um monitor independente nem um cronograma de relatórios.
A que essa combinação de dados pode levar
Em geral, combinações como as seguintes podem ser usadas de forma indevida. Isso não significa que tenha acontecido aqui.
- Nome + data de nascimento + número de Seguro Social + endereço: tentativas de abrir contas ou crédito, ou de pedir fraudulentamente uma restituição de imposto
- Nome + informações de seguro + número de conta hospitalar: atendimento obtido ou cobrado em nome de outra pessoa
- Diagnósticos e nomes de medicamentos: contatos convincentes ou ameaças que se apoiam em conhecer a condição de saúde da pessoa
O que organizações de saúde e clientes podem aprender
A versão dos estados contém pontos que um cliente pode verificar na supervisão dos próprios contratados. Esta seção se atém ao que foi publicado e o transforma em itens a verificar nos seus contratos e sistemas.
- Autenticação multifator no acesso remoto. Os estados citam a sua ausência. Confirme que seu contratado a exige em todas as vias de entrada em seus sistemas (VPN, área de trabalho remota, consoles de administração na nuvem), olhando as configurações ou um relatório de auditoria, e não o texto do contrato. Guia: Guia de autenticação multifator.
- Teste para onde vão os alertas dos logs, não só se os logs existem. Os estados dizem que a atividade foi registrada, mas nenhum alerta chegou à equipe de segurança. Um primeiro passo é fazer um teste, como um login de um lugar incomum e uma leitura grande de arquivos, e confirmar que alguém é avisado.
- Defina retenção e descarte no contrato. A retenção não é citada como causa, mas está nas reformas exigidas. Diga por quanto tempo o contratado guarda o áudio e os arquivos transcritos, quando os apaga, e peça prova da exclusão. Guardar menos significa ter menos a perder.
- Procure repositórios de arquivos sem criptografia. Os estados dizem que arquivos sem criptografia foram acessados. Pergunte ao seu contratado se os locais que guardam informações clínicas são criptografados.
- Conheça os contratados do seu contratado. Um paciente pode não ter contrato com uma empresa e, mesmo assim, os dados chegam a ela. Combine de antemão a quem seu contratado subcontrata e quem é responsável pela notificação.
Fontes (registros públicos)
Os fatos deste artigo se baseiam nas declarações públicas a seguir.
- Procurador-Geral de Nova York, “Attorney General James Secures Up to $10 Million and Critical Reforms From Companies That Failed to Protect Private Medical Data” (6 de novembro de 2026) — ag.ny.gov
- Procurador-Geral de Connecticut, comunicado de imprensa (6 de novembro de 2026) — portal.ct.gov
- Procurador-Geral de Nova Jersey, comunicado de imprensa (6 de novembro de 2026) — njoag.gov
- The Record, “Medical services company settles with 4 state AGs” (reportagem, de apoio) — therecord.media
- Comissão Federal de Comércio dos EUA, “Credit Freezes and Fraud Alerts” — consumer.ftc.gov
Histórico de atualizações
2026-11-08: Primeira versão, baseada nos comunicados de 6 de novembro de 2026 dos procuradores-gerais de Nova York, Connecticut e Nova Jersey. O comunicado de Michigan não pôde ser confirmado. O artigo será atualizado quando os estados ou as empresas publicarem mais informações.
Leia em seguida
- O panorama dos vazamentos de saúde nos EUA: US healthcare data breaches (2026) (em inglês)
- Uma empresa que guarda prontuários antigos: The Aesto Health breach (em inglês)
- Outro caso grande ligado à saúde: The AdaptHealth breach (em inglês)
- Proteger o acesso remoto: Guia de autenticação multifator
- Reconhecer golpes posteriores: O que é phishing?