Violação de dados da Cherry Health em 2026

A fonte principal é o Aviso de incidente de privacidade de dados da Cherry Health, de 18 de junho de 2026, publicado em PDF em seu próprio domínio. O documento oficial bilíngue, em inglês e espanhol, explica diretamente a data da descoberta, as medidas de contenção na rede, o acesso e a cópia não autorizados, a análise de dados em andamento, as possíveis categorias de informações envolvidas e os recursos de proteção.

A segunda confirmação é o relatório de violação do HHS OCR, que identifica a Cherry Street Services como prestadora de serviços de saúde, classifica o incidente como um evento de invasão/TI envolvendo um servidor de rede, informa 501 pessoas afetadas e indica 18 de junho de 2026 como a data de envio. A Claim Depot relaciona de forma independente o PDF oficial e o registro do HHS, relatando o mesmo tipo de evento e as mesmas categorias divulgadas.

Após detectar atividade suspeita na rede, a Cherry Health tomou prontamente medidas para proteger seu ambiente e iniciou uma investigação com especialistas externos para determinar a natureza e o alcance do incidente. A investigação constatou que uma pessoa não autorizada acessou e copiou determinadas informações armazenadas na rede da organização.

As fontes não revelam o primeiro nem o último dia de acesso não autorizado, o método de invasão, a quantidade de dados copiados ou a identidade do invasor. A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas. Não foi incluída nenhuma alegação verificada de ransomware ou de divulgação pública dos dados.

A organização informou que estava realizando uma análise abrangente dos arquivos com especialistas externos para determinar exatamente quais campos estavam envolvidos e a quem pertenciam. Esse trabalho ainda não havia sido concluído quando o aviso preliminar foi emitido; a Cherry Health informou que as pessoas potencialmente afetadas receberiam cartas após a conclusão da análise.

O registro de 501 pessoas no HHS é o número registrado junto ao órgão regulador e verificável publicamente em 27 de julho de 2026. Ainda assim, a indicação no aviso oficial de que a análise continua em andamento significa que o alcance pode mudar. Se um novo total for divulgado, este mesmo registro do incidente deverá ser atualizado, em vez de criar outro registro duplicado. A empresa afirmou que, naquele momento, não tinha evidências de roubo de identidade ou fraude.

Os possíveis campos de dados pessoais incluem nome, endereço, número de telefone e data de nascimento. Números de seguridade social também podem estar envolvidos em um número limitado de casos. Quando combinados com outras fontes, esses dados podem facilitar a falsificação de identidade, a abertura fraudulenta de contas, fraudes telefônicas direcionadas e tentativas convincentes de phishing.

O aviso oficial não afirma que todos os campos estavam presentes nos dados de todas as 501 pessoas, nem revela o tamanho do subgrupo limitado cujos SSN podem estar envolvidos. Por isso, este registro não presume que o SSN de todas as pessoas tenha sido afetado. Senhas, cartões de pagamento, carteiras de motorista e contas bancárias não são incluídos porque as fontes não confirmam essas categorias.

As possíveis informações relacionadas à saúde incluem dados de seguro-saúde, números de identificação do seguro-saúde, números de identificação de pacientes, nomes de prestadores de serviços de saúde e datas de atendimento. Esses dados são sensíveis por poderem facilitar fraudes em seguros, o uso indevido da identidade de pacientes e ações de engenharia social direcionadas com base na relação de uma pessoa com os serviços de saúde.

O aviso preliminar não lista diagnósticos, tratamentos, prescrições, resultados de exames, anotações clínicas ou informações de cartões de pagamento. Os dados envolvidos de cada pessoa podem conter vários campos ou apenas um, e espera-se que os campos exatos sejam informados nas notificações individuais.

As pessoas devem revisar contas financeiras, relatórios de crédito, demonstrativos de benefícios do seguro-saúde e históricos de atendimento em busca de atividades que não reconheçam. Se aparecer uma conta, um prestador, um serviço ou uma solicitação de cobertura de seguro desconhecidos, a organização responsável deve ser contatada por um canal verificado; um alerta de fraude ou um bloqueio gratuito de crédito também pode ser uma medida adequada.

A Cherry Health divulgou o número 888-204-2407 e seu endereço postal oficial em Grand Rapids para dúvidas sobre o incidente. SSN, dados de seguro ou identificadores de pacientes não devem ser compartilhados por meio de links ou ligações inesperados de quem afirma representar a organização. Se surgir uma mensagem suspeita ou uma atividade suspeita em uma conta, isso deve ser verificado pelo canal de contato oficial atual da organização, sem usar os links da mensagem.