Violação de dados do Saint Anthony Hospital em 2025

A principal evidência é o Aviso de incidente de segurança de dados publicado no domínio do próprio hospital. O documento informa que uma parte não autorizada pode ter obtido acesso a duas contas de e-mail de funcionários e que o incidente resultou no acesso não autorizado a determinados arquivos não estruturados na rede ou na obtenção desses arquivos. A organização também confirma que adotou medidas de contenção nos sistemas afetados e conduziu uma investigação com especialistas externos em segurança cibernética.

O HHS OCR registra o evento na categoria Prestador de serviços de saúde, classifica-o como Incidente de invasão/TI e identifica E-mail como o local das informações afetadas. O total de 146.108 pessoas no registro federal dá respaldo regulatório à constatação do hospital sobre o envolvimento de informações pessoais e de saúde de pacientes. O HIPAA Journal comparou as fontes de forma independente e corroborou a data de acesso, a conclusão da análise, o período de notificação e a abrangência atualizada.

Segundo o aviso oficial, os arquivos e as pastas não estruturados foram acessados ou obtidos por volta de 27 de fevereiro de 2025. A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas. O texto público não informa o primeiro dia em que o responsável entrou nas contas, a duração total do acesso nem a data em que o hospital detectou o evento inicialmente. Por isso, este registro não inventa uma data de início anterior.

O Saint Anthony trabalhou com especialistas para identificar os dados e as pessoas afetadas, concluindo a análise dos arquivos por volta de 13 de fevereiro de 2026. Em seguida, publicou um aviso substitutivo e começou a enviar notificações pelo correio às pessoas potencialmente afetadas em 6 de março de 2026. O intervalo de aproximadamente um ano reflete o processo de análise dos arquivos e de associação dos dados às pessoas, não uma afirmação de que o invasor permaneceu presente durante todo esse período.

O comunicado oficial de março de 2026 informa que os dados não estruturados afetados continham informações pessoais de pacientes e informações pessoais de saúde. Ele não especifica, para este evento, nomes, endereços, datas de nascimento, números de Social Security, diagnósticos, prescrições ou números de contas. Quantidades de pessoas, campos de dados e alegações de agentes de ameaça que não foram verificados não são tratados como parte da abrangência pública do incidente.

Um aviso público anterior do Saint Anthony apresentava uma lista detalhada de campos, mas o HHS mostra incidentes com datas e quantidades de pessoas afetadas diferentes, e combiná-los automaticamente não seria confiável. Este registro está vinculado ao aviso de março de 2026, que abrange 146.108 pessoas, e não incorpora a lista de campos do incidente anterior à abrangência do mais recente. Também não presume que os arquivos de todas as pessoas continham as mesmas categorias de informações.

A investigação forense do Saint Anthony determinou que seu sistema de prontuários eletrônicos não foi afetado por este incidente. Essa exclusão não significa que nenhuma informação de saúde estava envolvida: informações pessoais de pacientes e informações de saúde protegidas foram encontradas em arquivos não estruturados associados ao ambiente de e-mail. Essa distinção separa a plataforma central de prontuários eletrônicos dos documentos armazenados em e-mails ou em locais da rede.

Por isso, a LeakData identifica E-mail como o sistema afetado e não sugere que toda a plataforma clínica tenha sido comprometida. Os arquivos não estruturados poderiam ser anexos, documentos digitalizados ou registros em formato livre, mas as fontes não especificam seus formatos exatos. Portanto, essas possibilidades não são apresentadas como fatos. A exposição documentada permanece limitada às duas categorias que o hospital confirmou expressamente.

A contagem de pessoas afetadas ou de registros publicada pela fonte oficial representa a abrangência relatada do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. Trata-se do número total de pessoas afetadas informado ao órgão regulador federal, não do número de arquivos, contas de e-mail ou campos de dados distintos. As duas contas de funcionários descrevem os pontos de acesso envolvidos no incidente e não devem ser confundidas com o número de vítimas.

Como o portal do HHS também contém um incidente de e-mail do Saint Anthony de menor abrangência, relatado em 2025, a verificação de duplicidade não se baseou apenas no nome da organização. Este registro se distingue pela combinação da data de acesso de 27 de fevereiro, da notificação de 6 de março de 2026 e da abrangência de 146.108 pessoas. As entradas federais separadas não são somadas, e não se calcula uma eventual sobreposição desconhecida entre as pessoas afetadas em eventos diferentes.

Na época do aviso, o hospital informou que não tinha conhecimento de evidências de uso indevido das informações nem de ocorrência de roubo de identidade ou fraude. Ainda assim, recomendou que as pessoas afetadas verificassem regularmente os extratos de contas financeiras, os relatórios de crédito e os demonstrativos de benefícios do seguro de saúde. Um serviço, pedido de cobertura ou pagamento desconhecido deve ser verificado com o prestador ou a seguradora correspondente por um canal oficial conhecido.

Links inesperados, solicitações de pagamento e mensagens de verificação de identidade apresentados em nome do Saint Anthony merecem atenção especial, pois o contexto do incidente pode favorecer tentativas de phishing direcionado. Quem recebeu uma notificação deve se orientar pelas informações sobre sua situação individual e pelos contatos oficiais presentes na carta enviada pelo correio. A LeakData não publica nem faz buscas em arquivos roubados de pacientes; fornece apenas metadados verificados sobre o incidente, fontes e orientações práticas sobre as medidas a tomar.