Vazamento de dados da QualDerm Partners em 2025

A QualDerm informou que identificou atividade não autorizada em sua rede de computadores e que o acesso durou de 23 a 24 de dezembro de 2025. A investigação forense constatou que arquivos contendo informações sensíveis foram exfiltrados durante esse curto período. Assim, este registro se baseia na obtenção de dados confirmada pela organização, e não apenas na suposição de que eles possam ter sido visualizados.

O HHS OCR classifica o evento como Hacking/IT Incident (incidente de invasão de sistemas/tecnologia da informação), indica um servidor de rede como o local afetado e identifica a entidade como prestador de serviços de saúde. O HIPAA Journal analisou em conjunto o comunicado da empresa, o documento apresentado ao órgão regulador do Oregon e o registro do HHS, corroborando a cronologia, os campos de dados e a abrangência de vários milhões de pessoas. Os achados em comum dessas fontes confirmam que houve acesso à rede, exfiltração e envolvimento de informações de pacientes.

O acesso verificado começou em 23 de dezembro de 2025 e terminou quando a QualDerm descobriu atividade incomum em 24 de dezembro. A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas. Em seguida, a organização protegeu sua rede e seus sistemas de computadores e trabalhou com especialistas externos para determinar a natureza e a abrangência do incidente.

A QualDerm informou que a análise dos arquivos continuava e que as notificações seriam enviadas pelo correio de forma gradual, para evitar atrasos desnecessários. O primeiro número divulgado publicamente abrangia 174.837 residentes do Texas, seguido por uma contagem de 3.117.874 informada pelo Oregon e pelo HHS. O total de 3.433.965 pessoas que o HHS apresenta agora é mais recente; por isso, os números parciais anteriores não são somados a ele.

Dependendo da pessoa, os campos afetados podem incluir nomes, endereços de e-mail, datas de nascimento e datas de falecimento. Nomes de médicos e números de prontuários também estavam entre os dados informados. Diagnósticos, informações sobre tratamentos e dados de planos de saúde mostram que o incidente afetou informações de saúde protegidas, além de dados de identificação.

A QualDerm informou que dados de documentos de identificação emitidos pelo governo, como números de carteiras de motorista, também podem ter sido afetados no caso de um grupo muito pequeno de pessoas. As fontes não incluem números do seguro social dos EUA (Social Security), cartões de pagamento, contas bancárias ou senhas de contas entre os campos confirmados. Portanto, este registro utiliza apenas as categorias publicadas e não atribui todas elas a cada pessoa.

A lista de investigações em andamento do HHS OCR mostra atualmente 3.433.965 pessoas na linha da QualDerm Partners LLC, enviada em 22 de fevereiro de 2026. Esse valor atualiza o número anterior de 3.117.874 informado aos órgãos reguladores e divulgado na cobertura jornalística. O número de pessoas afetadas ou de registros publicado pela fonte oficial representa a abrangência relatada do incidente. Isso não significa que todas as categorias de dados informadas estivessem envolvidas no caso de cada pessoa.

A QualDerm havia informado que atendia 158 clínicas de dermatologia e cuidados com a pele em 17 estados, em uma rede que alcançava mais de 15 milhões de pacientes por ano. Essa escala de atuação não corresponde ao número de pessoas afetadas pelo vazamento. O LeakData não usa uma estimativa de 15 milhões, não inventa contagens por clínica e não ultrapassa o total verificado de 3.433.965 pessoas na notificação do HHS.

A QualDerm informou que, quando o incidente foi divulgado, não havia identificado evidências de uso indevido dos dados dos pacientes, e ofereceu às pessoas afetadas monitoramento de crédito e proteção contra roubo de identidade gratuitos. A ausência de uso indevido conhecido não desfaz a exfiltração confirmada nem elimina o risco de fraudes futuras. A organização também informou que estava revisando suas políticas, procedimentos e protocolos de segurança de dados.

As fontes públicas não confirmam a identidade do invasor, o método de entrada inicial, uma exigência de resgate ou o volume de arquivos. Por isso, o LeakData não associa o incidente a um grupo específico de ransomware nem inventa uma causa, como phishing, roubo de credenciais ou uma vulnerabilidade. Este registro se limita ao acesso confirmado à rede, à exfiltração de arquivos e às categorias de informações divulgadas.

Pacientes que receberem uma notificação devem conferir se a clínica de dermatologia mencionada e o vínculo com o médico correspondem aos seus próprios registros. Qualquer diagnóstico, tratamento, prestador de serviços ou solicitação de cobertura ao plano de saúde não reconhecido nos demonstrativos médicos deve ser relatado pelos canais oficiais de privacidade do plano de saúde e da clínica. Mensagens que solicitem um número de prontuário ou documento de identidade devem ser verificadas de forma independente antes que qualquer link seja aberto.

As pessoas do pequeno grupo cujos dados de identificação emitidos pelo governo foram afetados podem consultar o órgão emissor sobre proteção adicional ou substituição do documento e devem verificar o prazo da oferta de monitoramento.