Vazamento de dados da Clinical Registry Solutions em 2026

A Procuradoria-Geral da Califórnia publica um modelo de notificação a pacientes apresentado em nome da Clinical Registry Solutions e indica 9 de abril como a data do vazamento. O documento explica expressamente que a CRS presta suporte a registros clínicos para o St. Mary's Medical Center, da Dignity Health, mantém determinadas informações de pacientes do St. Mary's, sofreu um acesso à sua rede e teve determinados arquivos de pacientes obtidos por terceiros.

O documento oficial apresentado à Procuradoria-Geral de Nebraska confirma que o evento envolveu ransomware e registra sua descoberta em 9 de abril, a constatação de que arquivos haviam sido retirados em 17 de abril e a conclusão da análise dos dados em 22 de maio. O HHS OCR classifica a CRS como uma associada comercial em Nova York e informa o total federal de 8.545 pessoas.

Funcionários tiveram problemas para acessar a rede de computadores em 9 de abril, e a CRS identificou atividades suspeitas naquele dia. A organização tirou os sistemas do ar para proteger a rede, contratou especialistas em segurança cibernética e comunicou o evento às autoridades policiais. A investigação confirmou que um agente não autorizado acessou a rede e retirou arquivos.

Em 17 de abril, a CRS soube que determinados arquivos haviam sido retirados de sua rede e iniciou uma análise detalhada para identificar as informações e as pessoas envolvidas. A análise interna foi concluída em 22 de maio, e as notificações foram enviadas pelo correio por volta de 17 de junho. Os documentos oficiais não identificam o grupo responsável pelo ataque, por isso a LeakData não atribui o incidente de forma definitiva a nenhum grupo.

O modelo de carta da Califórnia destinado aos pacientes do St. Mary's lista nomes e sobrenomes, números de prontuário e datas de procedimentos. A mesma notificação afirma expressamente que as informações desse grupo de pacientes não incluíam números do Seguro Social, diagnósticos ou planos de tratamento. Essa delimitação evita que outras categorias de dados sejam atribuídas incorretamente ao subconjunto de pacientes.

O documento oficial de Nebraska confirma que arquivos separados de recursos humanos continham o nome, o número do Seguro Social e o número da carteira de motorista de um funcionário. Essas notificações representam grupos e combinações de informações diferentes.

O registro atual do HHS informa 8.545 pessoas, um servidor de rede como local do incidente e a classificação de incidente de invasão de sistemas/TI; esse é o total de pessoas registrado pelo órgão regulador em âmbito nacional. Não se trata da quantidade de arquivos retirados, procedimentos médicos ou campos de dados.

Os modelos oficiais demonstram que as informações envolvidas não eram as mesmas para todas as pessoas. Alguns pacientes podem ter tido apenas o nome, o número de prontuário e a data de um procedimento envolvidos, enquanto alguns funcionários podem ter tido o nome, o SSN e o número da carteira de motorista envolvidos. As fontes não informam a divisão entre pacientes e funcionários, por isso a LeakData não estima os totais de cada subgrupo.

A Clinical Registry Solutions protegeu a rede, tirou os sistemas do ar, conduziu uma investigação com especialistas externos em análise forense digital, redefiniu senhas e implementou medidas adicionais de segurança. A empresa analisou os dados afetados para identificar seus titulares, notificou as pessoas envolvidas e reavaliou suas políticas e medidas de segurança para reduzir o risco de um evento semelhante.

As notificações oficiais informaram que não havia evidências de uso indevido de informações pessoais ou de saúde para fraude ou roubo de identidade. A notificação ao funcionário cujos dados incluíam um SSN e uma carteira de motorista ofereceu 12 meses de monitoramento de crédito, monitoramento da dark web, suporte para recuperação de identidade e seguro pela CyberScout; a notificação aos pacientes recomenda acompanhar contas e demonstrativos de benefícios do plano de saúde.

Os pacientes do St. Mary's devem verificar os demonstrativos de benefícios do plano de saúde e os portais de pacientes em busca de procedimentos ou serviços que não reconheçam. Se aparecer um registro incomum associado ao número de prontuário, devem entrar em contato com o prestador de serviços de saúde por um canal verificado. Funcionários cujo SSN ou número da carteira de motorista tenha sido exposto devem consultar seus relatórios de crédito e considerar a ativação de um alerta gratuito de fraude ou de um congelamento de crédito.

Não compartilhe informações de identificação ou de saúde em resposta a e-mails ou ligações inesperados de quem alegue representar a CRS, o St. Mary's ou a CyberScout; use canais verificados nas fontes, como a linha de atendimento 1-800-405-6108. Se aparecer uma mensagem suspeita ou uma ocorrência na conta, verifique a situação pelo canal oficial de contato atual da organização, sem usar os links da mensagem.