Violação de dados da Fieldtex Products em 2025

A Fieldtex afirmou que descobriu uma atividade não autorizada em seus sistemas de computador, protegeu a rede e iniciou uma investigação com especialistas externos em perícia digital. Sua análise concluiu que uma quantidade limitada de informações de saúde protegidas pode ter sido afetada pelo incidente. HIPAA Journal e SecurityWeek divulgaram a declaração da organização juntamente com os registros apresentados ao HHS.

A lista do HHS identifica a Fieldtex como uma associada comercial, classifica o evento como Invasão/Incidente de TI e indica Servidor de rede como o local das informações. Essa classificação regulatória e a constatação da empresa de possível acesso ou obtenção de dados sustentam a ocorrência de uma violação real de dados pessoais.

A Fieldtex detectou a atividade não autorizada em 19 de agosto de 2025 ou por volta dessa data e protegeu seus sistemas para impedir novos acessos. A empresa afirmou que concluiu a análise dos arquivos expostos em 30 de setembro de 2025 e notificou os planos de saúde afetados. A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas.

A primeira notificação de grande porte ao HHS foi apresentada em 20 de novembro de 2025 e abrangia 238.615 pessoas. Três registros adicionais de 3 de dezembro informam 5.901, 9.206 e 20.641 pessoas, enquanto um registro posterior, de 12 de dezembro, informa 104.071. As diferentes datas de envio não comprovam a ocorrência de ataques separados; elas refletem notificações feitas em etapas pela Fieldtex, como associada comercial que atua em nome dos planos de saúde.

Os campos divulgados incluem nomes, endereços para correspondência, datas de nascimento e gênero. As informações de vínculo com os planos de saúde também incluíam números de identificação dos beneficiários, nomes dos planos e datas de início de vigência ou períodos de cobertura. Esses campos estavam vinculados às informações de beneficiários fornecidas por planos de saúde que utilizavam o programa da Fieldtex de benefícios para produtos de saúde de venda livre.

As fontes não incluem números de seguridade social, cartões de pagamento, contas bancárias, senhas, diagnósticos clínicos, prescrições ou registros detalhados de tratamento na lista de campos confirmados. Por isso, essas categorias foram excluídas. A expressão “informações de saúde protegidas” também não significa que todas as pessoas afetadas tinham todos os campos listados; o conteúdo de cada arquivo poderia variar.

A lista do HHS consultada em 27 de julho de 2026 contém cinco linhas referentes a investigações em andamento sobre a Fieldtex Products. A soma dos números de pessoas indicados nessas linhas resulta em 378.434. Em sua atualização de 16 de dezembro de 2025, o HIPAA Journal informou três notificações que totalizavam 35.748, além das 238.615 iniciais; a lista do HHS também mostra atualmente a notificação de 12 de dezembro, referente a 104.071 pessoas.

A tabela pública do HHS não divulga um método que permita determinar se foram eliminadas identidades duplicadas entre as cinco linhas. Portanto, o número deve ser interpretado como a soma das pessoas informadas nas notificações regulatórias, e não como um conjunto de dados de pessoas distintas verificado de forma independente.

O grupo de ransomware Akira incluiu a E-First Aid Supplies, marca da Fieldtex, em seu site de vazamentos em novembro de 2025 e alegou ter obtido 14 GB de documentos corporativos. A SecurityWeek divulgou a alegação e afirmou que os arquivos não pareciam ter sido publicados naquele momento. A Fieldtex não mencionou o Akira em sua declaração pública, portanto nem a identificação do grupo nem o volume de 14 GB são tratados como constatações confirmadas pela empresa.

Isso não permite concluir que um ransomware tenha criptografado os sistemas, que um resgate tenha sido pago ou que todas as partes da alegação do grupo fossem corretas. O ponto central verificado é que informações de beneficiários de planos de saúde em um servidor de rede estiveram sujeitas a acesso ou obtenção não autorizados.

Se você recebeu uma notificação, compare os nomes da Fieldtex e do plano de saúde mencionados na carta com os registros do seu próprio plano, revise os demonstrativos de benefícios em busca de alterações que não reconheça e informe pedidos inesperados de produtos de venda livre. Antes de usar qualquer link, verifique a autenticidade de ligações ou mensagens que solicitem endereço, data de nascimento ou número de identificação de beneficiário por meio de um canal oficial de contato do plano de saúde obtido de forma independente.

A Fieldtex afirmou que ofereceu monitoramento de crédito gratuito às pessoas elegíveis. Mesmo que o prazo de adesão já tenha terminado, ainda é útil revisar relatórios de crédito, informar contas desconhecidas e conferir os demonstrativos explicativos do seguro-saúde.