Violação de dados da PIH Health em 2024

A PIH Health detectou o ataque que afetou suas operações em 1 de dezembro de 2024 e iniciou uma análise com especialistas em perícia cibernética. Por volta de 16 de dezembro de 2025, a organização determinou que arquivos nas partes comprometidas de sua rede continham informações de pacientes e podem ter sido acessados ou obtidos pelo invasor. Essa constatação e o registro do HHS caracterizam o evento como uma violação de dados pessoais.

O HHS OCR classifica o evento como Invasão/Incidente de TI, o local das informações como Servidor de rede e o tipo de entidade como Prestador de serviços de saúde. O HIPAA Journal analisou a declaração atualizada da PIH Health, o registro regulatório e a cronologia do ataque, corroborando o alcance de quase 2,95 milhões de pacientes. As fontes concordam que o evento afetou informações pessoais e informações de saúde protegidas, além de causar a indisponibilidade dos sistemas.

Os resultados da investigação forense indicam que o invasor esteve na rede da PIH Health de 14 de novembro a 23 de dezembro de 2024. A data do incidente se baseia na primeira atividade técnica que pode ser verificada a partir de fontes públicas. O ataque detectado em 1 de dezembro interrompeu o funcionamento de alguns sistemas de computador e linhas telefônicas; as equipes de saúde usaram procedimentos para períodos de indisponibilidade e registros manuais para manter o atendimento.

A análise detalhada dos arquivos afetados e a preparação da lista de pessoas levaram cerca de um ano. Após identificar toda a população afetada em dezembro de 2025, a PIH Health reuniu dados de contato e iniciou as notificações. O registro do HHS mantém a data original de envio de 31 de janeiro de 2025, enquanto o total de 2.947.264 atualmente exibido reflete a revisão posterior do alcance do incidente.

A PIH Health informou que os tipos de informações variavam de pessoa para pessoa. Além de nomes e endereços postais, os arquivos podiam incluir números de Seguro Social e números de identificação fiscal. Números de carteira de motorista também estavam entre os campos de identificação divulgados. Essa combinação aumenta os riscos de roubo de identidade, fraudes fiscais e uso indevido de novas contas.

Informações médicas e de seguro de saúde foram afetadas. Dados de contas financeiras e números de cartões de crédito ou débito também estavam presentes em alguns arquivos. As fontes não afirmam que todos os campos estavam presentes para todas as 2.947.264 pessoas; senhas, conteúdo de e-mails e todos os campos detalhados sobre tratamentos mencionados pelo invasor não são incluídos no escopo geral confirmado pela organização.

A lista de investigações em andamento do HHS OCR mostra um único registro da PIH Health Inc. com 2.947.264 pessoas. Esse número representa a população afetada identificada após a análise dos dados pela organização. O número de pessoas ou registros afetados publicado pela fonte oficial representa o alcance informado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas.

O número do HHS representa pessoas afetadas, e não arquivos roubados ou linhas de banco de dados. Um paciente pode ter vários registros médicos, portanto a quantidade de registros não precisa ser igual à quantidade de pessoas.

O invasor, cuja identidade não foi divulgada publicamente, alegou ter obtido aproximadamente 2 TB de dados e 17 milhões de registros de pacientes, exigiu um resgate e publicou algumas amostras na internet. A alegação mencionava episódios de atendimento médico, registros de tratamento de câncer, e-mails privados e documentos da organização. A PIH Health disse inicialmente que não podia verificar a autenticidade da mensagem de resgate nem das alegações de roubo de dados.

O total posterior de 2.947.264 pessoas registrado pelo HHS indica que a alegação de 17 milhões de registros não correspondia a pacientes únicos ou era exagerada. O número de pessoas ou registros afetados publicado pela fonte oficial representa o alcance informado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. Esta entrada se baseia no total informado ao órgão regulador e nas categorias de informações confirmadas pela organização.

A PIH Health informou que não havia encontrado evidências de uso indevido ou de tentativa de uso indevido das informações afetadas quando os avisos foram enviados e ofereceu monitoramento de crédito e proteção contra roubo de identidade gratuitos. Os destinatários devem revisar seus relatórios de crédito, contas junto aos órgãos fiscais e movimentações financeiras e considerar um bloqueio de crédito por segurança caso um número de Seguro Social esteja entre os dados afetados.

Serviços, prestadores ou pedidos de cobertura não reconhecidos em demonstrativos médicos e de seguro devem ser comunicados pelos canais oficiais de privacidade da PIH Health e do plano de saúde. Pessoas cujos dados de cartão ou conta foram afetados podem conversar com a instituição financeira sobre substituição e monitoramento reforçado.