Violação de dados da Insightin Health em 2025

A Insightin Health descreveu a atividade suspeita na rede e a investigação conduzida por terceiros em uma notificação substitutiva. A análise forense confirmou o acesso não autorizado entre 17 e 23 de setembro de 2025. A revisão dos arquivos mostrou que havia informações de saúde protegidas associadas aos seus clientes nos arquivos afetados, caracterizando o evento como uma violação efetiva de dados de saúde sujeita à regulamentação.

O registro do HHS OCR classifica a Insightin Health como Associado Comercial, o evento como Invasão/Incidente de TI e o local das informações como Servidor de Rede. O HIPAA Journal analisou a notificação da organização e o contexto do incidente, corroborando o período de acesso, os tipos de dados e a oferta de proteção. As fontes afirmam expressamente que os números de Seguro Social não foram comprometidos.

O acesso verificado à rede começou em 17 de setembro de 2025 e terminou em 23 de setembro. A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas. A Insightin detectou atividade incomum em setembro e iniciou uma análise forense para determinar a natureza, a abrangência e os arquivos afetados.

O registro do HHS tem data de envio de 16 de janeiro de 2026 e agora mostra 1.949.534 pessoas. As fontes públicas não informam quando cada cliente foi notificado nem apresentam subtotais por plano de saúde.

Os arquivos podiam conter nomes e datas de nascimento. Números de contrato e identificadores não exclusivos usados por seguradoras de saúde também faziam parte do escopo divulgado. Esses campos podem facilitar phishing e fraudes em contas de seguro-saúde, mas um identificador não exclusivo de uma seguradora não é, por si só, uma senha de conta pessoal.

Alguns arquivos continham identificadores de beneficiários do Medicare. A Insightin também informou a presença de informações sobre prestadores de serviços de saúde vinculadas a indivíduos. Essa combinação pode ajudar invasores a criar comunicações falsas convincentes em nome do Medicare ou mensagens baseadas em um vínculo conhecido com um prestador.

A Insightin Health afirmou expressamente que os números de Seguro Social não foram comprometidos. As fontes também não incluem cartões de pagamento, contas bancárias, senhas de contas, diagnósticos, anotações detalhadas de tratamento ou informações sobre prescrições entre os campos gerais confirmados.

A combinação de dados pode variar conforme a pessoa e o cliente da Insightin; o registro não implica que todos os campos estavam presentes para todas as 1.949.534 pessoas. A expressão “informações de saúde protegidas” não é usada para inferir detalhes clínicos que não foram divulgados.

O grupo de ransomware Medusa reivindicou a responsabilidade, alegando ter exfiltrado 378 GB da rede da Insightin e ameaçando publicar os dados. Esses detalhes não constavam da notificação substitutiva da organização. As fontes públicas não mostram que a Insightin tenha confirmado o nome Medusa, o volume dos arquivos, um pedido de resgate ou todo o conteúdo que o grupo alegou ter obtido.

O núcleo confiável das informações é o acesso à rede e o escopo dos arquivos confirmados pela empresa, além do total de 1.949.534 pessoas registrado pelo HHS. A alegação do invasor não é usada para ampliar as categorias de dados.

A Insightin Health ofereceu às pessoas afetadas doze meses gratuitos de monitoramento de crédito e proteção contra roubo de identidade. Embora os números de Seguro Social estivessem fora do escopo, se você recebeu uma notificação, monitore seus relatórios de crédito, verifique cuidadosamente as mensagens de quem diz representar um plano de saúde ou o Medicare e recuse pedidos de informação em ligações inesperadas que solicitem um identificador de beneficiário.

Se você identificar um prestador, serviço ou pedido de pagamento desconhecido nos demonstrativos do Medicare e do seguro-saúde, informe o caso pelo canal oficial de denúncias de fraude do plano. Obtenha os dados de contato de forma independente, a partir de um cartão ou site oficial, em vez de seguir um link recebido em uma mensagem. Se surgir uma mensagem suspeita ou uma ocorrência na conta, verifique a situação pelo canal oficial de contato atualmente disponibilizado pela organização, sem usar os links da mensagem. Quando houver uma carta de notificação individual, ela é a fonte principal para saber o escopo dos dados afetados daquela pessoa e as opções de proteção oferecidas. Datas e categorias de dados devem ser interpretadas apenas na medida em que as fontes públicas lhes deem respaldo; detalhes não divulgados não devem ser tratados como confirmados.