Violação de dados da Cure Dental em 2025

A fonte primária é o Aviso aos pacientes publicado no site da Cure Dental, em seu próprio domínio. A clínica explica diretamente a data da descoberta, a resposta técnica, os campos de dados pessoais possivelmente afetados, sua conclusão de que as informações de saúde protegidas (PHI) dos pacientes não foram afetadas e as medidas de proteção da identidade recomendadas aos pacientes.

A segunda confirmação vem do relatório de violações de dados do HHS OCR, que identifica a Cure Dental como prestadora de serviços de saúde, classifica o evento como um incidente de hacking/TI envolvendo um servidor de rede, informa 878 pessoas afetadas e registra 23 de junho de 2026 como data de envio. A Claim Depot relata, de forma independente, o mesmo número de pessoas, a mesma data de descoberta e as mesmas categorias de dados, com base na página oficial e no registro do HHS.

Após detectar o acesso cibernético não autorizado, a clínica restringiu imediatamente o acesso à sua rede, encerrou as conexões externas, desativou as contas com acesso via web à área de trabalho remota e exigiu a redefinição das senhas em toda a clínica. Sua plataforma de segurança cibernética detectou e interrompeu de forma eficaz a propagação da atividade maliciosa pela rede.

O texto oficial descreve o que parecia ser um ataque de ransomware, mas não identifica um invasor ou grupo. Posteriormente, o invasor entrou em contato com a clínica várias vezes e exigiu que a equipe ativasse manualmente arquivos de malware deixados no sistema; a equipe não atendeu à exigência e as tentativas cessaram. Informações não verificadas sobre o número de pessoas, os campos de dados e alegações sobre responsáveis pela ameaça não são consideradas parte do escopo público do incidente.

A investigação constatou que a plataforma de prontuários, embora estivesse com acesso restrito, foi restabelecida rapidamente e que os dados arquivados não foram afetados. Ainda assim, a clínica determinou que algumas informações pessoais associadas aos pacientes podem ter sido acessadas durante o evento. As fontes não divulgam o número exato de arquivos, o volume de dados baixados ou a duração do acesso.

A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas. O aviso oficial afirma que informações podem ter sido acessadas, mas não confirma que tenham sido publicadas ou vendidas. A data de envio ao HHS, aproximadamente um ano depois, corresponde a uma etapa de comunicação ao órgão regulador, não à data do incidente.

Os campos potencialmente afetados incluem nome, endereço, data de nascimento, número de seguridade social e número da carteira de motorista. Essa combinação gera uma exposição significativa ao risco de abertura fraudulenta de contas, falsificação de identidade, fraude de crédito e engenharia social direcionada. A clínica também informou que um paciente recebeu uma ligação de alguém que se passava por um profissional de tecnologia da informação.

O paciente encerrou a ligação imediatamente e avisou a clínica, e a Cure Dental informou que não houve outras atividades suspeitas. A página oficial não afirma que todos os campos estavam presentes nos registros de todas as 878 pessoas, nem apresenta contagens por campo.

A Cure Dental afirmou expressamente que o incidente não afetou as informações de saúde protegidas dos pacientes, como informações de tratamento e pagamento. Também informou que a plataforma de prontuários foi restabelecida e que os dados arquivados não foram afetados.

O vínculo com uma clínica odontológica ainda pode ser relevante para a privacidade, mas as fontes disponíveis não confirmam a exposição de informações de saúde além desse vínculo.

As pessoas potencialmente afetadas devem obter relatórios gratuitos dos três principais birôs de crédito, verificar contas e consultas de crédito que não reconheçam e considerar a inclusão de um alerta de fraude ou o congelamento gratuito do crédito. Dados de identificação nunca devem ser compartilhados com pessoas que liguem alegando representar a Cure Dental; a verificação deve ser iniciada por um canal de contato disponível no site oficial da clínica.

A clínica divulgou o número gratuito 888-766-1488 para dúvidas sobre o incidente. Evidências de uma conta ou consulta de crédito não reconhecida, ou de uma ligação em que alguém se passe por outra pessoa, devem ser preservadas e comunicadas à organização pertinente e, quando apropriado, às autoridades policiais. Se surgir uma mensagem suspeita ou uma atividade suspeita em uma conta, a verificação deve ser feita pelo canal de contato oficial atual da organização, sem usar os links da mensagem. Quando houver uma carta de notificação individual disponível, ela é a principal fonte para saber quais dados daquela pessoa estão envolvidos e quais opções de proteção são oferecidas. As datas e categorias de dados devem ser interpretadas apenas na medida em que sejam sustentadas por fontes públicas; detalhes não divulgados não devem ser tratados como confirmados.