Para: pessoas que receberam uma carta de aviso da Photon Health ou da Blueberry Pediatrics, e qualquer pessoa que opere uma ferramenta de análise auto-hospedada. Este artigo se baseia no comunicado da Photon Health, na lista de violações do procurador-geral do Oregon e na carta-modelo ao consumidor da Blueberry Pediatrics e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
Em 31 de outubro de 2026Ainda não se sabe
- Número total de pessoas afetadas na Photon Health
- Como o incidente se relaciona com os comunicados de outras organizações
- Se a empresa publica mais detalhes sobre a investigação
A Photon Health publicou seu comunicado em 8 de outubro de 2026 e não disse quantas pessoas são afetadas. O número da Blueberry Pediatrics (340.915) vem do seu relatório ao procurador-geral do Oregon e é de outra empresa.
O que os afetados devem fazer hoje
Não aja com base em ligações, mensagens de texto ou e-mails sobre receita, reembolso ou pedido ao seguro
Os itens combinam seu nome, endereço, número de telefone e data de nascimento com informações de medicamentos. Isso basta para quem liga soar crível.
Se alguém entrar em contato sobre um “problema na receita”, um “reembolso”, uma “conta de farmácia” ou um pedido ao seguro, desligue e retorne a ligação para um número que você mesmo encontrar, como o do seu cartão do seguro ou o do site da sua farmácia. Veja O que é phishing? para conhecer o padrão.
Nunca dê um número de Seguro Social, número de cartão ou código de uso único a quem entrou em contato com você
A Photon diz que números de Seguro Social e informações financeiras não foram afetados. Quem os pede mesmo assim não está seguindo nenhum passo que a Photon tenha descrito.
Use a oferta de monitoramento de crédito apenas pela sua carta
A Photon diz que oferece gratuitamente monitoramento de crédito e proteção contra roubo de identidade por 12 a 24 meses. Os passos de inscrição estão na carta de notificação; o comunicado na web não os repete. Não se inscreva por um link de um e-mail ou mensagem de texto inesperado.
Verifique os extratos da sua seguradora em busca de serviços que você não recebeu
Se os detalhes do seu plano de saúde estavam entre os itens (eles constam na carta da Blueberry Pediatrics, não no comunicado da Photon), leia os extratos de explicação de benefícios em busca de cobranças que você não reconheça e informe sua seguradora.
Pergunte à empresa apenas pelo número do comunicado
O comunicado da Photon traz uma linha telefônica: 1-844-772-5746, das 8:00 às 20:00 ET, de segunda a sexta, exceto feriados. Use os dados de contato do comunicado ou da carta, não os dados informados em uma mensagem que você recebeu.
O que aconteceu (segundo os comunicados)
Tudo o que segue é como declarado no comunicado da Photon Health de 8 de outubro de 2026, a menos que outra fonte seja citada.
21 de ago. de 2026
A Photon Health diz que tomou conhecimento do incidente.4 de set.
A Photon diz que concluiu a revisão dos dados afetados.8 de out.
A Photon publicou seu comunicado e notifica as pessoas cujas informações podem ter sido envolvidas.
- Quem
- Pessoas cujas informações podem ter sido envolvidas; o número não é informado
- Itens
- Nome, endereço, número de telefone, data de nascimento, informações de medicamentos prescritos; varia por pessoa
- Não afetados
- Números de Seguro Social e informações financeiras, que a empresa diz não coletar nem armazenar
- Causa (versão da empresa)
- Um terceiro não autorizado explorou uma vulnerabilidade até então desconhecida na ferramenta de análise (Metabase), que a Photon executa em sua própria infraestrutura para inteligência de negócios, métricas de produto e painéis de clientes
- Uso indevido
- Sem evidências de uso indevido ou tentativa de uso indevido das informações afetadas
- Resposta
- Contratou especialistas em segurança cibernética para investigar, conter e corrigir; a empresa diz que o ambiente da sua ferramenta de análise está seguro e que revisa suas salvaguardas técnicas
- Apoio
- 12 a 24 meses de monitoramento de crédito e proteção contra roubo de identidade gratuitos; linha telefônica 1-844-772-5746
Uma divulgação relacionada: Blueberry Pediatrics (340.915 registrados)
A lista de violações do procurador-geral do Oregon mostra um relatório da Blueberry Pediatrics datado de 10 de outubro de 2026, com 340.915 em “Number Affected” (a página diz que são os números no registro inicial), um período da violação de 10 a 22 de agosto de 2026, uma data de descoberta de 26 de agosto e comunicados enviados em 9 de outubro. A lista não separa o número do Oregon. O comunicado-modelo dá 22 de agosto como data de descoberta, então as duas fontes divergem. Os comunicados da Blueberry vão a pais e responsáveis, porque os pacientes são crianças.
A carta-modelo ao consumidor da Blueberry (registrada no procurador-geral da Califórnia; o modelo usa o nome Blueberry Medical) diz que um criminoso explorou uma vulnerabilidade no Metabase, um de seus provedores de tecnologia, e roubou uma cópia de alguns dados de pacientes. Lista nome, nome do plano de saúde e número da apólice, data de nascimento e informações de saúde como prontuários, datas de atendimento, códigos médicos e cobranças por serviços. Diz que números de Seguro Social e informações de pagamento não foram incluídos e que fotos e vídeos enviados para diagnóstico são armazenados separadamente e não foram comprometidos.
É o número de outra empresa. Não o some ao da Photon, que não foi divulgado.
A lista de violações do procurador-geral da Califórnia também tem uma entrada da Photon Health que dá 10 de agosto de 2026 como data da violação. Essa data difere de 21 de agosto do comunicado da Photon, que é quando a empresa diz que tomou conhecimento. Este artigo usa as datas conforme cada fonte as declara.
O que sabemos e o que não sabemos
Em 31 de outubro de 2026. Esta tabela será reescrita quando mais for publicado.
| Item | O que foi anunciado | Situação |
|---|---|---|
| Acesso não autorizado a uma ferramenta de análise da Photon | Exploração de uma vulnerabilidade até então desconhecida na ferramenta de análise | Confirmado (empresa) |
| Itens envolvidos | Nome, endereço, número de telefone, data de nascimento, informações de medicamentos prescritos | Confirmado (empresa) |
| Número de Seguro Social, informações financeiras | Não coletados nem armazenados pela empresa | Excluídos (empresa) |
| Uso indevido dos dados | Sem evidências de uso indevido ou tentativa de uso indevido | Sem evidências (empresa) |
| Pessoas afetadas na Photon | Não informado no comunicado | Não divulgado |
| Data em que a empresa tomou conhecimento | 21 de agosto de 2026 (a lista da Califórnia mostra uma data de violação de 10 de agosto) | Confirmado (empresa); as datas divergem por fonte |
| Pessoas afetadas na Blueberry Pediatrics | 340.915 (lista do procurador-geral do Oregon) | Confirmado (outra empresa) |
| Senhas, detalhes do plano de saúde na Photon | Não constam no comunicado da Photon | Não informado |
| Conexão entre os comunicados da Photon e da Blueberry | Não mencionada nos dois documentos conferidos | Não informado |
Para que a combinação de itens pode ser usada
Nomes, endereços, números de telefone e datas de nascimento estão disponíveis em muitos vazamentos passados. O que é incomum aqui são as informações de medicamentos prescritos junto deles, o que faz uma ligação fraudulenta sobre um remédio, uma renovação de receita ou um pedido ao seguro soar real. Isso é o que geralmente acontece com esse tipo de dado; não é uma afirmação de que aconteceu neste caso.
Nome + número de telefone + medicamento
↓→
Ligações convincentes sobre renovação de receita ou pedido ao seguro
→ Desligue; ligue para um número que você procurar
Nome + endereço + data de nascimento
↓→
Cartas, mensagens de texto ou e-mails falsos usando seus dados
→ Não siga links; confira no site oficial
Não afetados, segundo a Photon
- Número de Seguro Social
- Informações financeiras
Podem ter sido envolvidos (varia por pessoa)
- Nome e endereço
- Número de telefone
- Data de nascimento
- Informações de medicamentos prescritos
Como ler isto: ‘sem evidência de uso indevido’ não é ‘seguro daqui em diante’
A Photon diz que não tem evidências de uso indevido ou tentativa de uso indevido. Datas de nascimento não mudam, então os dados podem ser usados em mensagens meses ou anos depois. Trate com cuidado os contatos que usem este incidente como motivo para chegar até você.
Para quem opera ferramentas de análise
A Photon diz que a ferramenta era uma que ela mesma opera, para relatórios e painéis de clientes, e que uma vulnerabilidade até então desconhecida foi explorada. Esta seção trata apenas do que os fatos divulgados sustentam. Os detalhes da falha estão em o alerta deste site sobre CVE-2026-72898 (em inglês), e outras organizações afetadas pelo mesmo produto estão em o artigo sobre as violações pela vulnerabilidade do Metabase (em inglês).
Liste os dados que sua ferramenta de análise consegue ler
Uma ferramenta assim costuma estar conectada a bancos de dados de produção. O que ela consegue ler é o que pode vazar se for comprometida. No caso da Photon, itens como informações de medicamentos eram acessíveis a partir de uma ferramenta de relatórios. Verifique quais tabelas e colunas a ferramenta realmente precisa para a análise e corte o resto.
Saiba quais das suas ferramentas você opera e quais um fornecedor opera
A Photon descreve a ferramenta como auto-hospedada, o que significa que atualizações e exposição são tarefa do operador. Mantenha uma lista das ferramentas auto-hospedadas que você executa e uma forma de saber de suas correções de segurança (contexto: osv-scanner).
Planeje o tempo entre o incidente e o comunicado
Segundo a empresa, passaram-se cerca de sete semanas entre tomar conhecimento (21 de agosto) e o comunicado (8 de outubro). Decida de antemão quem revisa os dados afetados e quem aprova os comunicados, para que a revisão não seja o gargalo.
Fontes (registros públicos)
Os fatos deste artigo vêm das fontes públicas abaixo. Causas e números não divulgados não são objeto de especulação.
- Photon Health, Notice of Data Security Incident (8 de outubro de 2026) — PR Newswire
- Procuradoria-Geral da Califórnia, relatório de violação de dados da Photon Health — oag.ca.gov
- Departamento de Justiça do Oregon, lista de comunicados de violação de dados (Blueberry Pediatrics, informado em 10 de outubro de 2026) — justice.oregon.gov
- Blueberry Pediatrics (Blueberry Medical), comunicado-modelo ao consumidor registrado na Procuradoria-Geral da Califórnia — oag.ca.gov (PDF)
Histórico de atualizações
2026-10-31: Primeira versão, baseada no comunicado da Photon Health de 8 de outubro e nas listas dos órgãos reguladores acima. A Photon não divulgou um número; este artigo será atualizado se ela divulgar.
Leia em seguida
- A mesma falha, outras organizações: Violações pela vulnerabilidade do Metabase (Trezor, Framework, n8n e outras) (em inglês)
- Ligações e mensagens de golpe: O que é phishing? / Noções básicas de segurança do smartphone
- Outro caso de saúde nos EUA: Vazamento de dados da AdaptHealth / Violações de dados na saúde dos EUA em 2026 (em inglês)
- Outros incidentes de 2026: lista de vazamentos e ciberataques (Japão e no mundo)