IKRON Corporation 2026 Vazamento de dados

Em fevereiro de 2026, soube que um terceiro havia acessado determinados servidores e arquivos e extraído informações administrativas ou relacionadas ao emprego de funcionários atuais e ex-funcionários. Em 4 de março de 2026 ou por volta dessa data, a IKRON soube que outro terceiro havia acessado um ambiente de prontuários eletrônicos e extraído informações de saúde dos clientes e informações sobre serviços de apoio profissional.

O registro do Escritório de Direitos Civis do HHS lista 11.845 pessoas afetadas e classifica o evento como um incidente de invasão/TI envolvendo um prontuário médico eletrônico e um servidor de rede. Trata-se de uma contagem de pessoas afetadas para fins regulatórios, não de uma contagem de registros importados, arquivos, pacientes ou funcionários. A organização informou apenas fevereiro de 2026 como o mês em que tomou conhecimento da primeira onda de acesso, sem indicar um dia exato.

As informações variaram conforme a relação de cada pessoa com a IKRON. Os possíveis campos incluíam nome, endereço, data de nascimento, número de seguridade social e, em alguns casos, número da carteira de motorista. Os dados de atendimento a pacientes também podem ter incluído número de prontuário médico, informações de seguro de saúde, diagnósticos, histórico médico, registros de admissão e avaliação, planos de tratamento, anotações clínicas, agendamentos e faturamento. Os dados de emprego ou de serviços de apoio profissional também podem ter incluído registros de participação e de serviços prestados, informações de admissão, anotações ou comunicações, histórico educacional e profissional e, para algumas pessoas, informações limitadas sobre medicamentos ou informações gerais sobre deficiência associadas a um plano de serviços. Não se deve presumir que qualquer um desses campos se aplique a todas as pessoas.

A IKRON informou que comunicou os incidentes às autoridades policiais, isolou os sistemas afetados, desativou as contas comprometidas, redefiniu senhas e recorreu a especialistas externos em perícia digital. Também anunciou 12 meses de monitoramento de crédito para as pessoas identificadas como afetadas. As pessoas devem agir de acordo com os campos e as condições indicados nas notificações que receberam. O incidente, por si só, não comprova que uma pessoa era paciente, funcionária ou participante de um programa de apoio profissional, nem o envolvimento de um diagnóstico, de uma deficiência ou de um registro de tratamento em particular.