Vazamento de dados da NYC Health + Hospitals em 2025

A NYC Health + Hospitals anunciou em 24 de março de 2026 que informações pessoais e informações de saúde protegidas foram expostas em um incidente de segurança. Uma investigação forense determinou que o terceiro não autorizado permaneceu na rede por aproximadamente onze semanas e extraiu arquivos. Essa declaração caracteriza o evento como uma obtenção de dados confirmada pela organização, e não apenas como uma possível visualização.

O HHS OCR classifica o evento como um incidente de invasão/tecnologia da informação (IT), indica um servidor de rede como local das informações e identifica a entidade como um prestador de serviços de saúde. O HIPAA Journal comparou a divulgação da organização com o registro federal, corroborando o período de acesso, a extração de arquivos, os grupos afetados e as categorias gerais de dados. As fontes não atribuem o ataque a nenhum grupo de ransomware identificado pelo nome.

O responsável pelo ataque acessou a rede pela primeira vez em 25 de novembro de 2025. A organização detectou atividades suspeitas e tomou medidas para proteger os sistemas em 2 de fevereiro de 2026, mas a investigação constatou que o acesso continuou até 11 de fevereiro. A data do incidente se baseia na primeira atividade técnica que pode ser verificada nas fontes públicas.

A organização fez o anúncio público em março de 2026, enquanto continuava a analisar os arquivos afetados. A entrada no registro do HHS informa 24 de março como data de envio e indica 1,8 milhão de pessoas. A NYC Health + Hospitals afirmou que o acesso inicial pode ter ocorrido após uma violação de segurança em um fornecedor terceirizado não identificado; sem confirmação, este registro original não identifica o fornecedor nem o método técnico utilizado.

As informações médicas incluíam números de prontuários, códigos de deficiência, diagnósticos, medicamentos, resultados de exames, imagens e planos de tratamento. Esses campos contêm informações detalhadas e duradouras sobre a saúde de uma pessoa. Como a organização não afirmou que todos os campos clínicos apareciam em todos os arquivos, essas categorias descrevem os dados que podem ter sido afetados em cada caso individual.

Podem ter sido afetadas informações sobre planos e apólices de seguro-saúde, nomes de seguradoras, identificadores de beneficiários e grupos, além de identificadores do Medicaid, do Medicare ou de outros programas governamentais responsáveis pelo pagamento de serviços de saúde. Informações de faturamento e pedidos de pagamento ou reembolso também estavam no escopo do incidente. Esses campos podem facilitar pedidos fraudulentos de pagamento ou reembolso por serviços de saúde, roubo de identidade médica e golpes direcionados envolvendo seguros.

Os dados pessoais incluíam nomes, números de Social Security, números de carteiras de motorista ou de outros documentos oficiais de identidade e números de identificação de contribuintes. PINs de proteção de identidade emitidos pelo IRS e dados de geolocalização precisa também estavam no escopo do incidente. Números de cartões de crédito ou débito e informações ou credenciais de contas financeiras também estavam envolvidos, aumentando os riscos de fraudes tributárias, em benefícios públicos e na abertura de novas contas.

Os arquivos continham informações biométricas, como impressões digitais e palmares, além de credenciais de contas on-line. Senhas podem ser alteradas, mas características biométricas são permanentes, o que gera consequências mais duradouras. A lista abrangente não significa que todas as pessoas tiveram todos esses campos afetados.

Um incidente separado envolvendo a NADAP, parceira na coordenação de cuidados, também afetou pacientes da NYC Health + Hospitals por volta do mesmo período. Esse evento envolveu cerca de 5.086 pessoas em novembro de 2025 e expôs nomes, datas de nascimento, endereços, números do Medicaid, números de Social Security e informações clínicas relacionadas a cuidados domiciliares.

O evento da NADAP envolveu outra organização, outra data de descoberta e outro escopo de notificação, por isso não é somado ao vazamento da rede que afetou 1,8 milhão de pessoas. Essa separação evita uma possível contagem duplicada e a combinação de incidentes distintos.

A NYC Health + Hospitals ofereceu 24 meses gratuitos de monitoramento de crédito e proteção contra roubo de identidade a pessoas que foram pacientes ou integrantes de sua força de trabalho entre 2020 e 2 de fevereiro de 2026. Se você recebeu a notificação, deve acompanhar seus relatórios de crédito, suas contas tributárias e de benefícios públicos, seus cartões e sua movimentação bancária, além de considerar um bloqueio de crédito caso seu número de Social Security tenha sido afetado.

Serviços e pedidos de pagamento ou reembolso que você não reconheça nos demonstrativos médicos ou de seguro devem ser comunicados. Se suas informações biométricas ou de contas on-line estiverem entre os dados afetados, tenha cautela com solicitações inesperadas de verificação e use uma senha exclusiva para cada conta.