Violação de dados da VITAS Hospice Services em 2025

A fonte principal é o Aviso de violação de dados de quatorze páginas enviado pela VITAS Hospice Services às pessoas afetadas. O documento explica diretamente a data da descoberta, o comprometimento da conta do fornecedor, o período de acesso, o download dos dados, a investigação, as melhorias de segurança e os vinte e quatro meses de serviços de proteção.

A segunda fonte é o portal de violações de dados do HHS OCR, que confirma o total de 319.177 pessoas registrado em âmbito federal e as classificações do incidente. A terceira é a reportagem da SecurityWeek de 9 de dezembro de 2025, que descreve de forma independente a abrangência, o método de acesso e o download de dados de pacientes com base na notificação da VITAS e no registro federal. O HIPAA Journal corrobora a mesma cronologia e as mesmas categorias de dados.

A parte não autorizada comprometeu uma conta pertencente a um fornecedor da VITAS e a usou para entrar em determinados sistemas da VITAS. A organização descobriu o incidente em 24 de outubro, enquanto a análise forense identificou acesso não autorizado aproximadamente de 21 de setembro a 27 de outubro. Durante essa atividade, informações de alguns pacientes atuais e antigos foram visualizadas e baixadas.

Após a descoberta, a VITAS tomou medidas para proteger seus sistemas, iniciou uma investigação interna e contratou especialistas externos. O encerramento aproximado do acesso três dias após a descoberta reflete a cronologia estabelecida ao fim da análise forense. A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada a partir de fontes públicas.

Os campos variavam de pessoa para pessoa e podem incluir nomes, endereços, números de telefone, datas de nascimento, números de seguridade social, números de carteiras de motorista, dados de contato dos familiares mais próximos, diagnósticos, medicamentos, resultados de exames laboratoriais, condições de saúde, informações sobre tratamentos, informações sobre seguros de saúde e outras informações pessoais. Essa combinação é altamente sensível pelo risco de fraudes de identidade e fraudes médicas.

A VITAS não afirmou que todos os campos estavam presentes nos dados de todas as 319.177 pessoas. O download dos dados é confirmado pela carta da empresa, mas as fontes não comprovam divulgação pública, venda ou transferência para um grupo de ransomware identificado.

A contagem de pessoas afetadas ou de registros publicada pela fonte oficial representa a abrangência informada do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. A SecurityWeek e outras publicações sobre segurança no setor de saúde informam o mesmo total federal. O número contabiliza as pessoas abrangidas pela notificação, e não arquivos, visitas de cuidados de fim de vida, prescrições, resultados de exames laboratoriais ou elementos de dados individuais.

A VITAS Hospice Services integra a rede nacional de cuidados de fim de vida e cuidados paliativos da VITAS Healthcare. O incidente envolveu informações de pacientes atuais e antigos, mas o tamanho de cada um desses grupos e o número de pessoas afetadas por cada campo não foram divulgados. Por isso, esta entrada não apresenta totais separados.

A VITAS informou que protegeu seus sistemas, iniciou uma investigação interna, trabalhou com uma empresa de destaque em segurança cibernética e notificou as autoridades policiais. A organização também revisou e reforçou a supervisão de fornecedores e os protocolos de proteção de dados para reduzir o risco de um incidente semelhante.

A VITAS não tinha conhecimento de uso indevido das informações pessoais quando a carta foi emitida. Ainda assim, as pessoas afetadas receberam vinte e quatro meses gratuitos de monitoramento de crédito, proteção de identidade e monitoramento médico por meio da Epiq. O pacote inclui recuperação da identidade, auxílio para o congelamento de crédito e alertas sobre determinados indícios de exposição da identidade médica.

Se você recebeu a notificação, deve ativar o serviço da Epiq dentro do prazo de adesão indicado na carta e revisar regularmente relatórios de crédito, alterações de endereço, demonstrativos de benefícios do seguro de saúde e históricos de serviços médicos em busca de contas ou atividades que não reconheça. Qualquer registro suspeito deve ser comunicado por um canal oficial da organização correspondente.

A carta da VITAS afirma expressamente que a organização não enviará comunicações eletrônicas sobre o incidente e pede que os destinatários não compartilhem informações pessoais por meios eletrônicos. Não abra links inesperados que se apresentem como enviados pela VITAS, pela Epiq, por uma seguradora ou por um prestador de serviços de saúde; faça o primeiro contato por um número verificado. Se aparecer uma mensagem suspeita ou um evento suspeito na conta, verifique a situação pelo canal de contato oficial atual da organização, sem usar os links da mensagem.