Violação de dados do Palomar Health Medical Group em 2024

A principal evidência é o PDF “Aviso de incidente com dados”, de 3 de julho de 2024, hospedado no próprio domínio do PHMG. Publicado enquanto a investigação ainda estava em andamento, o documento identifica o período de acesso não autorizado, informa que arquivos podem ter sido copiados e observa que alguns arquivos podem ter se tornado irrecuperáveis. A organização também declarou claramente que, naquela etapa, ainda não conseguia identificar quais pessoas e informações haviam sido afetadas.

A segunda fonte é a notificação reemitida e apresentada à Procuradoria-Geral da Califórnia em 15 de outubro de 2025. Ela confirma que a análise dos dados foi concluída em 4 de setembro de 2025 e constatou que informações de pacientes atuais e antigos poderiam ter sido afetadas. A terceira fonte é o registro do HHS/OCR, que informa o total federal de 501 pessoas, o tipo de incidente e o servidor de rede como local da ocorrência.

A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas. Quando o primeiro aviso foi publicado na internet, em 3 de julho, a análise dos arquivos e das pessoas afetadas ainda estava em andamento. Por isso, aquele comunicado não apresentou um total definitivo de pessoas afetadas.

O PHMG concluiu a análise abrangente dos arquivos em 4 de setembro de 2025. A organização reemitiu o aviso em 15 de outubro para alcançar pessoas que talvez não o tivessem recebido anteriormente e reforçar a divulgação do incidente de 2024. A data de envio do registro do HHS/OCR, 8 de maio de 2026, não indica um novo ataque cibernético; o registro federal e os documentos da organização apontam para o mesmo período de acesso, entre abril e maio de 2024.

O aviso atualizado da organização informa que a combinação de dados varia de pessoa para pessoa. As categorias de identificação e de dados financeiros listadas incluem nome, endereço, data de nascimento, número do Seguro Social, carteira de motorista, documento de identificação estadual, documento de identificação militar, passaporte e número de registro de estrangeiro nos Estados Unidos. Informações de contas financeiras, cartões de pagamento e contas de poupança para despesas de saúde também estão entre os dados que podem ter sido afetados.

As categorias de dados de saúde e de contas incluem histórico médico, informações de diagnóstico e tratamento, dados biométricos, número do prontuário médico, identificação do Medicare ou Medicaid, número da conta do paciente e informações do seguro de saúde. Também são listadas combinações de endereço de e-mail e senha, assim como de nome de usuário e senha. Este catálogo não demonstra que todos os campos se aplicavam a todas as 501 pessoas; a carta de notificação individual é a melhor fonte para saber quais categorias dizem respeito ao destinatário.

501 é o número de pessoas afetadas indicado para o Palomar Health Medical Group na tabela federal pública de violações de dados do HHS/OCR. O número de pessoas afetadas ou de registros publicado pela fonte oficial representa a abrangência relatada do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. No entanto, o alerta geral do PHMG a todos os pacientes, em julho de 2024, foi emitido antes da conclusão da análise individual. Portanto, 501 não deve ser interpretado como o total de pessoas que viram o aviso geral nem como o total de pacientes da organização.

Essas métricas respondem a perguntas diferentes e não devem ser usadas como se fossem equivalentes.

Combinações de e-mail e senha podem viabilizar ataques de preenchimento de credenciais quando a mesma senha foi reutilizada em outros serviços. Você deve usar senhas exclusivas para o PHMG ou portais de saúde relacionados e priorizar a troca de credenciais reutilizadas em contas de e-mail e financeiras. A autenticação multifator deve ser ativada. Para acessar suas contas, use endereços conhecidos em vez de links em mensagens inesperadas sobre redefinição de senha, cartões de pagamento ou contas de serviços de saúde.

A combinação de informações do Seguro Social, de documentos de identificação governamentais e de contas financeiras pode facilitar fraudes na abertura de novas contas. Já os dados de seguro, conta do paciente, diagnóstico e tratamento podem possibilitar o uso indevido de identidade para obter atendimento médico. Você deve revisar seus relatórios de crédito, a movimentação de contas bancárias e cartões e os demonstrativos de benefícios emitidos pela seguradora. Se não reconhecer um prestador de serviços de saúde, serviço, solicitação de cobertura ou cobrança, informe a seguradora e a organização de saúde pelos canais oficiais.

O PHMG informou que investigou o incidente, tomou medidas para proteger o ambiente de rede, notificou as autoridades policiais e os órgãos reguladores competentes e aprimorou os protocolos de segurança existentes. Suas declarações públicas iniciais e atualizadas afirmam que a organização não havia encontrado evidências de uso indevido efetivo nem de tentativa de uso indevido relacionados ao incidente. Essa declaração não garante que um uso indevido não possa ocorrer posteriormente.

Se você recebeu uma carta individual do PHMG, consulte esse documento para saber quais categorias dos seus dados foram afetadas e quais opções de proteção foram oferecidas pela organização. Se não recebeu uma carta e ainda tem dúvidas, use o canal oficial de contato atual do PHMG. Uma página de incidente no LeakData, por si só, não significa que você esteja entre as pessoas afetadas; ela documenta o incidente verificado e as precauções práticas. Evidências de uso indevido de identidade ou de dados médicos devem ser preservadas e comunicadas prontamente às instituições competentes.