Violação de dados da Elara Caring em 2025

A fonte principal é o Aviso de incidente de segurança de dados da Elara Caring, de quatro páginas, datado de 12 de maio de 2026. O documento confirma a data em que o fornecedor notificou a empresa, os dois períodos de acesso, o download de documentos de pacientes, a ausência de impacto nos sistemas da Elara, a investigação, o encerramento da relação com o fornecedor e a oferta de vinte e quatro meses de serviços de proteção.

A segunda fonte é o portal de violações de dados do HHS OCR, que apresenta o total federal atual de 22.172 pessoas. A terceira é a reportagem do HIPAA Journal de 18 de maio de 2026, que descreve de forma independente a cronologia, os tipos de dados e o incidente no fornecedor com base na carta oficial. Um relatório de defesa do consumidor de Massachusetts também corrobora o envolvimento de números do Seguro Social e prontuários médicos.

A Elara usava um fornecedor externo para gerenciar e assinar eletronicamente documentos relacionados aos serviços de assistência domiciliar à saúde. Em 12 de dezembro de 2025, o fornecedor informou à Elara que uma pessoa não autorizada havia acessado e/ou baixado, em seu sistema, documentos relacionados a pacientes da Elara nos períodos de 4 a 6 e de 14 a 17 de novembro.

A Elara iniciou uma análise abrangente e determinou, em 12 de março de 2026, que os documentos baixados continham informações pessoais de pacientes. A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas. A carta da Elara não identifica o fornecedor; o HIPAA Journal o identifica como Doctor Alliance pela correspondência entre as datas, mas esta entrada não apresenta essa identificação como uma atribuição feita pela Elara.

Os campos variavam de pessoa para pessoa e podem incluir nomes, endereços, datas de nascimento, números do Seguro Social, informações de prontuários médicos e informações de seguro-saúde. O campo específico da pessoa no modelo de aviso está ocultado na cópia pública; as categorias são respaldadas, em conjunto, pelo relatório regulatório e pela cobertura jornalística independente sobre segurança no setor de saúde.

As fontes não afirmam que todos os campos estavam presentes nos dados de todas as 22.172 pessoas. Por isso, esta entrada não cria contagens de subgrupos nem acrescenta senhas, cartões de pagamento ou contas bancárias que não tenham sido mencionados nas fontes. Embora a carta da empresa confirme o download de documentos, as evidências não comprovam a divulgação pública, a venda ou a transferência dos arquivos para um grupo de ransomware identificado.

A contagem de pessoas ou registros afetados publicada pela fonte oficial representa a abrangência informada do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a cada pessoa. Em 18 de maio, o HIPAA Journal informou um total de 10.490 pessoas com base em uma versão anterior do registro federal, incluindo 3.300 residentes do Texas. Por isso, o total federal posterior é usado como valor principal.

Os dois números refletem a abrangência da notificação em momentos diferentes para o mesmo incidente; 10.490 não é subtraído nem tratado como uma nova violação separada. O valor de 22.172 contabiliza pessoas afetadas no registro federal, não documentos, visitas de atendimento domiciliar ou elementos de dados.

A Elara encerrou sua relação com o fornecedor terceirizado após o evento. A organização informou que estava revisando políticas, procedimentos e controles de segurança da informação, especialmente os relacionados a fornecedores externos, e que implementaria melhorias apropriadas para reduzir o risco de um incidente semelhante.

As pessoas afetadas receberam vinte e quatro meses gratuitos de serviços de monitoramento de crédito e recuperação de identidade por meio da Cyberscout. O aviso recomenda ativar o serviço dentro do prazo de adesão.

Se você recebeu o aviso, deve ativar o serviço da Cyberscout antes do prazo indicado na sua carta e revisar regularmente relatórios de crédito, contas on-line e financeiras, demonstrativos explicativos de benefícios do seguro-saúde e históricos de serviços médicos para identificar atividades desconhecidas. Um registro suspeito deve ser comunicado por um canal oficial da organização correspondente.

A combinação de números do Seguro Social com informações médicas e de seguro cria um risco duradouro de roubo de identidade e fraude na assistência à saúde. Dados de identificação não devem ser compartilhados por meio de links inesperados que aleguem representar a Elara Caring, a Cyberscout, a Doctor Alliance ou uma seguradora; o contato deve ser iniciado por um número verificado. Se surgir uma mensagem suspeita ou uma ocorrência suspeita em uma conta, verifique a situação pelo canal oficial de contato atual da organização, sem usar os links da mensagem.