Vazamentos de dados de saúde nos EUA (2026): principais casos e como verificar um aviso

A carta de um fornecedor geralmente cita o prestador que você realmente utilizou, ou informa que é enviada em nome desse prestador.

A carta modelo da Xsolis, por exemplo, começa explicando que seu prestador de saúde usa um fornecedor, a Xsolis, para serviços de gestão de casos e de utilização. A Baylor Genetics afirma que recebeu informações de pacientes de seus clientes terceirizados, como os prestadores que solicitaram os exames.

Procure primeiro um nome de hospital, operadora de plano ou empregador que você reconheça.

Digite ocrportal.hhs.gov no seu navegador (não por um link ou QR code da carta), escolha "View HIPAA Breach Reports" e procure a empresa. A lista mostra o nome da entidade, o estado, o tipo (prestador ou associado comercial), o número de pessoas afetadas e a data de envio.

O portal inclui apenas violações que afetaram 500 pessoas ou mais, e a violação de um fornecedor às vezes é notificada em nome do prestador. Portanto, a ausência na lista, por si só, não prova que a carta é falsa.

A lista de violações do procurador-geral da Califórnia (oag.ca.gov/privacy/databreach/list) publica a carta modelo de notificação que cada empresa envia. Cinco dos nossos seis casos constam ali (não encontramos a NYC Health + Hospitals quando verificamos).

Coloque sua carta ao lado do modelo e compare o número da central de atendimento, o domínio do site de inscrição no monitoramento de crédito e o prazo de inscrição. Os modelos são gabaritos com nomes e códigos em branco, então verifique se o formato do texto e os dados de contato correspondem.

A inscrição legítima em monitoramento de crédito pede seu SSN, justamente por isso você nunca deve informá-lo em um site que não verificou.

QR codes também aparecem em cartas legítimas (as cartas modelo da Baylor Genetics e da CareCloud têm QR codes de inscrição), então não julgue pela presença de QR code. Julgue pelo domínio de destino, que deve coincidir com o modelo registrado no estado. Não "confirme" seu SSN, número de cartão ou senha em uma ligação ou mensagem que você não iniciou (veja o que é phishing?).

Inscreva-se no monitoramento antes do prazo e depois:

• Se seu SSN foi envolvido, faça um bloqueio de crédito com Equifax, Experian e TransUnion
• Obtenha também um IRS IP PIN (um número que impede que declarações de imposto sejam enviadas em seu nome por outra pessoa)
• Leia seus extratos de Explanation of Benefits para atendimentos que você não recebeu

A lista completa dos EUA, incluindo crianças, está em uma página no nosso artigo sobre a DentaQuest. Se credenciais de contas online foram envolvidas, como lista a NYC Health + Hospitals, troque também essas senhas.

Prontuário eletrônico, faturamento e gestão de consultórios, gestão de utilização, administração de benefícios, exames laboratoriais, arquivamento de prontuários. Liste cada empresa que guarda dados de pacientes ou beneficiários, independentemente de qual departamento assinou o contrato, com os campos que você entrega (incluindo SSNs, cópias de documentos ou dados biométricos), o número de registros e por quantos anos.

A maioria desses avisos percorre o caminho do fornecedor ao prestador e depois ao paciente. Sem essa planilha, quando um fornecedor ligar, você não conseguirá dizer rapidamente quantos pacientes são afetados e quais campos. A abordagem é a mesma de um inventário de segurança.

As normas federais exigem que os contratos com associados comerciais prevejam que o associado irá:

• (1) comunicar à entidade coberta qualquer uso ou divulgação não previsto no contrato, incluindo violações (45 CFR 164.504(e)(2)(ii)(C));
• (2) garantir que seus subcontratados concordem com as mesmas restrições (alínea D); e
• (3) ao término, se viável, devolver ou destruir todas as informações de saúde protegidas e não reter cópias; se inviável, estender as proteções contratuais e limitar o uso e a divulgação posteriores às finalidades que tornam a devolução ou destruição inviável (alínea J).

A cláusula (3) exige uma etapa que verifique a devolução ou destruição concluída, ou a manutenção das proteções e limites de finalidade quando isso for inviável. Use a coluna de "contratos encerrados" para verificar quais dados de pacientes permanecem e as condições que os protegem e limitam o uso.

A Xsolis afirma que seu incidente resultou de um ataque de phishing direcionado. A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) aponta o FIDO/WebAuthn (passkeys e chaves de segurança FIDO2) como a opção resistente a phishing amplamente disponível.

Comece pelas contas de administrador que acessam dados de pacientes e pelo acesso remoto. Acrescente uma linha ao questionário do fornecedor na seleção e na renovação: "Vocês usam MFA resistente a phishing para contas de administrador e acesso remoto?" Como o MFA baseado em código é entregue é tratado em o artigo sobre a DentaQuest.

O aviso da Unlimited Technology Systems diz que cópias de documentos oficiais e de cartões de seguro podem ter sido envolvidas, dependendo da pessoa. A NYC Health + Hospitals também lista impressões digitais e palmares como potencialmente envolvidos para algumas pessoas.

SSNs e dados biométricos não podem ser trocados. Revisar campo por campo o que você envia a cada fornecedor e perguntar se aquela função realmente precisa deles é a forma mais confiável de reduzir o dano quando uma violação acontece.

Como mostram as cartas, todo incidente é seguido de uma análise de cujos registros e quais campos foram afetados. Em geral, se você sabe em tempos normais quais arquivos guardam os registros de quem e quais campos, identificar as pessoas afetadas após um incidente fica mais rápido.

Para a referência geral, veja a linha de base mínima de segurança para organizações.