Vazamento de dados da Outcomes One (257.481 pessoas afetadas)

O incidente foi identificado em 1 de julho de 2025, quando um funcionário percebeu uma atividade suspeita em uma conta de e-mail. A equipe de segurança da Outcomes protegeu a conta e iniciou uma investigação com especialistas externos em segurança cibernética.

O acesso não autorizado durou aproximadamente uma hora e ficou restrito a uma única conta de e-mail. Alguns e-mails e arquivos foram acessados nesse período; não foi identificado o envolvimento de nenhuma outra conta de e-mail.

Em 17 de julho de 2025, a Outcomes determinou que um item que pode ter sido acessado incluía nomes e, dependendo da pessoa, informações demográficas, nomes de prestadores de serviços de saúde, informações sobre seguro-saúde ou informações sobre medicamentos.

O comunicado da Outcomes afirma expressamente que o incidente não envolveu números do Seguro Social. Isso não significa que todas as categorias de dados listadas estivessem presentes para cada pessoa afetada.

O registro de vazamentos de dados na área da saúde do HHS e um resumo independente do incidente informam que 257.481 pessoas foram afetadas. O número de 256.031 informado pela Procuradoria-Geral do Texas corresponde a um escopo mais restrito de notificação ao órgão regulador; o número do HHS é usado como total nacional.

Detalhes sobre seguro-saúde, medicamentos e prestadores de serviços de saúde podem ajudar um invasor a criar mensagens direcionadas que pareçam se referir a um plano de saúde real ou a uma relação de atendimento existente.

Um invasor pode usar a renovação de uma receita, a cobertura de um seguro-saúde ou um pagamento por serviços de saúde como pretexto para solicitar informações pessoais ou de pagamento. A presença de detalhes corretos sobre saúde em uma mensagem não comprova que o remetente esteja autorizado.

A Outcomes protegeu a conta afetada, conduziu uma investigação com especialistas externos e afirmou ter implementado medidas adicionais de proteção de e-mail e treinamento para funcionários sobre phishing.

A empresa começou a notificar os titulares dos dados em 25 de julho e iniciou o envio de notificações individuais pelo correio em 23 de setembro de 2025. Foi criada uma linha telefônica específica para esclarecer dúvidas sobre o incidente.

Se você recebeu uma notificação, pode revisar demonstrativos do plano de saúde, históricos de prescrições e contas médicas em busca de atividades que não reconheça. Se encontrar um serviço ou medicamento que não recebeu, pode entrar em contato diretamente com seu plano de saúde.

Se você receber uma mensagem inesperada que alegue ser da Outcomes, da Aetna, de uma farmácia ou de um profissional de saúde, use o canal oficial de contato da organização antes de acessar um link. Não compartilhe senhas, dados de pagamento ou códigos de verificação.