Violação de dados da Woundtech em 2025

A principal evidência é o Aviso de Violação de Dados da Woundtech, publicado em seu próprio domínio em 16 de março de 2026. A organização afirma que detectou atividades incomuns na rede em 6 de dezembro, contratou uma empresa terceirizada de segurança cibernética e soube, por meio da investigação forense, em 31 de dezembro, que certas informações podem ter sido copiadas. Trata-se de um evento confirmado pela empresa, e não de um registro baseado apenas na alegação de um agente mal-intencionado.

O registro do HHS OCR classifica a Wound Technology Network, Inc. como prestadora de serviços de saúde e o evento como um incidente de invasão/IT que afetou um servidor de rede. O total de 139.830 pessoas fornece a dimensão do incidente informada ao órgão regulador, que não consta no aviso da empresa. As duas fontes são consistentes quanto ao tipo de evento, ao ambiente afetado e ao envolvimento de informações de saúde sensíveis.

A Woundtech percebeu atividades incomuns na rede em 6 de dezembro de 2025 ou por volta dessa data e iniciou prontamente uma investigação. O aviso oficial informa que as atividades não autorizadas ocorreram entre 6 e 9 de dezembro. A data do incidente se baseia na primeira atividade técnica que pode ser verificada em fontes públicas.

A investigação forense concluiu, em 31 de dezembro, que certas informações podem ter sido copiadas. A Woundtech realizou então uma análise abrangente para determinar de quem eram as informações e quais tipos de dados estavam presentes; o trabalho para identificar as pessoas que poderiam precisar ser notificadas terminou em 2 de março de 2026. O aviso público foi divulgado em 16 de março, e cartas foram enviadas pelo correio quando havia um endereço válido disponível.

Os campos de identificação e contato incluem nomes, sobrenomes, datas de nascimento, números de telefone e gênero. As categorias clínicas são anotações clínicas, informações médicas sobre a saúde, informações sobre tratamentos médicos, informações sobre diagnósticos médicos e imagens de tratamentos médicos. Informações de planos de saúde também estão entre os dados afetados, enquanto números de identificação da Previdência Social estiveram envolvidos apenas em uma quantidade que a organização descreveu como muito limitada.

A lista não significa que todos esses campos estavam presentes para cada pessoa. O aviso oficial informa que os dados variam conforme o indivíduo e orienta os destinatários a consultar sua carta individual para saber as categorias exatas. Contagens de pessoas, campos de dados e alegações de agentes mal-intencionados que não foram verificados não são considerados parte do escopo público do incidente.

O número de pessoas afetadas ou de registros publicado pela fonte oficial representa o escopo informado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. Trata-se do número de pessoas afetadas informado pela Woundtech ao órgão regulador federal, e não do número de arquivos, imagens ou campos de dados distintos que podem ter sido copiados. Categorias separadas não são somadas para produzir um novo total de vítimas.

Um agente mal-intencionado divulgou uma alegação mais ampla, envolvendo mais de 160.000 pacientes e vários terabytes de dados. O aviso da empresa não valida a contagem fornecida por esse agente, e o registro do HHS apresenta um total diferente informado ao órgão regulador.

A Woundtech oferece serviços de manejo de feridas crônicas e cuidados avançados para feridas. Anotações clínicas, diagnósticos, informações de tratamento e imagens de tratamentos podem revelar detalhes privados sobre a condição de uma pessoa e seu histórico de cuidados, e não apenas dados de identificação. Quando combinados com informações de planos de saúde, esses dados podem aumentar o risco de solicitações falsas de cobertura, de alguém se passar por um prestador de serviços de saúde ou de fraudes direcionadas.

Arquivos que contêm números de identificação da Previdência Social, mesmo que relativos a um grupo muito limitado de pessoas, podem gerar risco de roubo de identidade a longo prazo. O aviso público não divulga, de forma agregada, quais campos se aplicavam a quais pessoas. Contagens de pessoas, campos de dados e alegações de agentes mal-intencionados que não foram verificados não são considerados parte do escopo público do incidente.

A Woundtech enviou cartas de notificação pelo correio às pessoas identificadas nos arquivos afetados para as quais havia um endereço postal válido disponível. A empresa recomendou acompanhar extratos de contas, demonstrativos de benefícios dos planos de saúde e relatórios de crédito gratuitos em busca de atividades suspeitas. Se você recebeu uma carta, deve se orientar pelas categorias de dados referentes a você e pelo telefone oficial de atendimento indicados nela.

Se você não reconhecer um serviço médico, uma solicitação de cobertura ao plano de saúde ou um pagamento, confirme a situação com o prestador e a seguradora por um canal oficial conhecido. Links inesperados, pedidos de imagens ou mensagens de verificação de identidade enviados em nome da Woundtech merecem atenção, pois o contexto do incidente pode ser usado em tentativas de phishing.