Violação de dados da Archer Health em 2025

A fonte principal é o “Aviso de incidente de privacidade de dados” publicado no próprio site da Archer Health. O aviso informa a data de 7 de setembro, o acesso não autorizado ao servidor de um prestador terceirizado, a ausência de impacto nos sistemas da Archer, os possíveis campos de dados envolvidos, o monitoramento de identidade, o encerramento da relação com o prestador e a linha de assistência 833-779-5787.

A segunda fonte é o registro oficial do HHS/OCR, datado de 6 de novembro, referente a 4.285 pessoas. A página do incidente no fonte pública sobre vazamentos de dados relaciona o mesmo aviso da organização ao total informado pelo HHS.

A Archer soube em 7 de setembro que um prestador de serviços de TI que dava suporte a determinados sistemas usados pela organização havia sofrido um incidente de segurança cibernética. Uma pessoa não autorizada acessou o servidor do prestador, onde estavam armazenados dados de pacientes. A Archer afirmou que, após tomar conhecimento do ocorrido, iniciou uma investigação com especialistas em segurança cibernética e adotou medidas para conter o incidente e proteger as informações dos pacientes.

A organização não divulga a data do primeiro acesso do autor, a duração do acesso nem o método técnico utilizado. A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas. A data de 6 de novembro corresponde à etapa de notificação, quando as cartas aos pacientes começaram a ser enviadas pelo correio e o incidente foi comunicado ao HHS.

O aviso oficial afirma expressamente que o incidente não envolveu os próprios sistemas ou redes da Archer Health. O ambiente afetado foi o servidor do prestador terceirizado de serviços de TI. Essa distinção é importante para compreender a origem técnica de uma violação de dados de saúde comunicada em nome da Archer.

O aviso não afirma que a rede da Archer foi comprometida ou que seus sistemas foram criptografados. O incidente ocorrido no prestador foi comunicado pela Archer porque afetou dados de pacientes associados aos serviços da organização.

Segundo a investigação da Archer, o conteúdo dos arquivos variava de uma pessoa para outra, mas pode ter incluído nome, data de nascimento, número de Seguro Social e informações médicas limitadas sobre os cuidados de saúde recebidos pelo paciente. Não se deve presumir que todos os campos estavam presentes para todas as pessoas ou que todas as informações foram usadas indevidamente.

As cartas individuais são a fonte principal para determinar quais campos estavam associados a cada paciente. Informações sensíveis adicionais não devem ser fornecidas em resposta a uma mensagem inesperada, mesmo que ela mencione o incidente.

4.285 é o número de pessoas afetadas publicado no portal do HHS/OCR; não é uma contagem de arquivos, linhas de dados ou contas do prestador. O número de pessoas afetadas ou de registros publicado pela fonte oficial representa o alcance relatado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas.

O aviso da organização não publica uma contagem total, portanto o total oficial vem do registro do órgão regulador federal. Se o mesmo incidente no prestador gerar avisos separados para outros clientes, esses números não devem ser somados ao total da Archer sem evidências. O evento de cada cliente deve ser avaliado de acordo com o alcance oficialmente informado ao órgão regulador para aquele caso.

A Archer afirmou que encerrou sua relação com o prestador terceirizado e implementou controles reforçados de segurança e monitoramento de fornecedores. Aos pacientes cujos números de Seguro Social podem ter sido envolvidos, foi oferecido monitoramento de identidade gratuito. A organização também recomenda verificar os demonstrativos de atendimento médico para identificar cobranças por serviços não recebidos.

A central de atendimento pelo número gratuito 833-779-5787 está disponível nos dias úteis, das 06:00 às 18:00, no horário do Pacífico. Os destinatários devem consultar suas próprias cartas para verificar as condições de adesão ao monitoramento, revisar os demonstrativos de atendimento médico e confirmar com a instituição de saúde ou a seguradora qualquer serviço que não reconheçam. O SSN completo, uma senha ou um código de uso único não devem ser compartilhados. Caso surja uma mensagem suspeita ou um evento suspeito na conta, a verificação deve ser feita pelo canal de contato oficial atual da organização, sem usar os links da mensagem. Quando uma carta de notificação individual estiver disponível, ela será a fonte principal para determinar quais dados daquela pessoa foram envolvidos e quais opções de proteção foram oferecidas. As datas e categorias de dados devem ser interpretadas apenas até onde as fontes públicas permitirem; detalhes não divulgados não devem ser tratados como confirmados. A revisão regular de contas de crédito, financeiras e de serviços de saúde pode ajudar a identificar precocemente um possível uso indevido.