Vazamento de dados de UI Community HomeCare e UI Health Care em 2025

A fonte principal é o comunicado público de University of Iowa Health Care, datado de 29 de agosto de 2025. Ele informa que o sistema de UI Community HomeCare foi acessado sem permissão e afirma expressamente que o cibercriminoso pôde visualizar arquivos e fazer cópias. Essa declaração confirma a obtenção dos dados, e não apenas a possibilidade de que as informações tenham sido acessadas.

O portal federal de vazamentos de dados do HHS OCR registra 109.029 pessoas para University of Iowa Community Home Care e 101.875 para University of Iowa Health Care. Os dois registros apresentam a mesma data de comunicação, o mesmo tipo de incidente e o mesmo local das informações: 29 de agosto de 2025, Invasão/Incidente de tecnologia da informação (IT) e Servidor de rede. O HIPAA Journal analisou o anúncio de forma independente e noticiou que o evento único afetou cerca de 211.000 pessoas.

Em 3 de julho, UI Community HomeCare identificou que alguém havia acessado seu sistema de computadores sem autorização. A organização desligou os servidores, contratou especialistas em segurança cibernética e restaurou os sistemas com segurança em até um dia útil. A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas.

A análise forense constatou que o invasor não apenas visualizou determinados arquivos, mas também fez cópias. UI Community HomeCare e UI Health Care tinham sistemas operacionais, prontuários eletrônicos e serviços de tecnologia da informação separados, mas sua relação histórica envolvia o compartilhamento de pacientes, funcionários e arquivos de dados. Por isso, o incidente envolveu um conjunto de arquivos de UI Health Care armazenados no ambiente da organização afiliada.

O comunicado oficial lista nomes, datas de nascimento, endereços, números de telefone, números de prontuário médico, prestadores de serviços de saúde, datas de atendimento, informações de seguro de saúde, números de Seguro Social e tipos de consulta como possíveis campos afetados. Eles são registrados nas categorias mais amplas de informações pessoais e informações de saúde protegidas. A combinação não era a mesma para todas as pessoas, portanto nenhum campo é atribuído à totalidade dos afetados.

A seção de perguntas frequentes (FAQ) do comunicado informa que não havia indícios de que números de Seguro Social tivessem sido incluídos no caso de determinados grupos de destinatários da comunicação, embora o comunicado público principal liste esse campo entre os possíveis elementos afetados. Não se presume a presença de campos não divulgados, como diagnósticos, prescrições, cartões de pagamento ou senhas.

A investigação oficial confirmou que não houve acesso não autorizado ao sistema de prontuários eletrônicos de UI Health Care. Essa limitação não reduz a relevância do incidente, pois dados de identificação, contato, seguro e vínculo com serviços de saúde contidos em arquivos compartilhados ainda assim foram copiados. Este registro descreve apenas o alcance confirmado em relação aos arquivos e não afirma que todo o sistema clínico tenha sido comprometido.

A organização contatou as autoridades policiais, implementou novas ferramentas de monitoramento, atualizou o firmware, alterou senhas e removeu arquivos dos equipamentos afetados. Ela informou que nenhum indício de uso indevido havia sido identificado quando as notificações foram emitidas. Essa constatação não invalida a obtenção confirmada dos dados nem elimina o risco futuro de fraudes envolvendo identidade, seguros ou assistência à saúde.

O comunicado oficial arredonda o total combinado para aproximadamente 211.000 pessoas. O HHS OCR publica o mesmo evento de 3 de julho em dois registros de entidades afiliadas: 109.029 e 101.875.

Os dois registros do HHS não são apresentados como ataques separados, pois a data, a infraestrutura, o dia da notificação e a narrativa oficial descrevem um único evento. Os materiais públicos não informam se alguma pessoa consta nos dois registros federais; como o HHS informa os totais sob entidades distintas, a soma é o número exato mais bem fundamentado entre os disponíveis. O método e a incerteza são preservados nas notas sobre as fontes.

UI Health Care e UI Community HomeCare enviaram cartas às pessoas afetadas em 29 de agosto de 2025. A organização informou que não estava oferecendo monitoramento de crédito gratuito porque não havia encontrado indícios de uso indevido no momento da notificação. Se você recebeu uma carta, considere os campos identificados nela e confira regularmente os extratos de suas contas, os relatórios de crédito e os demonstrativos de benefícios do seguro de saúde.

Se aparecer um atendimento médico, uma solicitação de cobertura ao seguro, uma nova conta de crédito ou uma mensagem de verificação de identidade que você não reconheça, entre em contato com a organização responsável por um canal oficial conhecido. Tenha cuidado especial com ligações inesperadas ou links que mencionem os nomes das instituições afetadas.