Violação de dados da ZenPatient em 2025

A principal evidência é o aviso aos consumidores da ZenPatient, datado de 17 de julho de 2026 e publicado no registro da Procuradoria-Geral da Califórnia. Em nome da empresa, a carta informa diretamente a descoberta de atividade suspeita, o período de acesso ou cópia não autorizados, a análise abrangente dos dados, o processo de notificação, a comunicação às autoridades federais responsáveis pela aplicação da lei e os serviços de proteção de identidade oferecidos.

Uma comunicação às autoridades reguladoras do Texas corrobora o número de 1.179 residentes do estado e as categorias de dados envolvidas no incidente. A Claim Depot relaciona os registros da Califórnia e do Texas e apresenta, de forma independente, um resumo das datas e do escopo envolvendo nomes, endereços, datas de nascimento e informações médicas. As fontes são consistentes quanto à organização, ao período de acesso, ao resultado da análise de 1º de julho e ao início das notificações em 17 de julho.

A ZenPatient observou atividade suspeita em sua rede por volta de 27 de fevereiro. Uma investigação com especialistas externos em segurança cibernética e privacidade de dados determinou que um ou mais agentes não autorizados acessaram ou copiaram determinados dados da ZenPatient entre 5 de dezembro e 12 de fevereiro. A carta oficial apresenta as duas possibilidades e não afirma que todos os dados foram comprovadamente copiados.

O material público não revela o método de entrada inicial, a identidade dos responsáveis, a existência de malware ou de uma exigência de resgate, nem o motivo pelo qual o acesso terminou antes da descoberta. Números de pessoas afetadas, campos de dados e alegações de agentes de ameaça que não foram verificados não são considerados parte do escopo do incidente divulgado publicamente.

O resumo do incidente baseado nos registros regulatórios lista nomes, endereços e datas de nascimento entre os campos de dados pessoais afetados. O modelo de carta oficial apresenta o nome do destinatário como um elemento fixo e os demais campos em uma seção variável, específica para cada pessoa. Portanto, não se deve presumir que a mesma combinação de dados tenha sido afetada para todos.

Nomes, endereços e datas de nascimento podem viabilizar phishing direcionado, verificação fraudulenta de contas e engenharia social. Números de seguridade social, carteiras de motorista e outros documentos mencionados no apêndice sobre proteção são exemplos gerais de itens que podem ser exigidos para um congelamento de crédito, e não campos de dados confirmados no incidente.

Foi confirmado que informações médicas estavam entre as categorias possivelmente afetadas pelo incidente envolvendo um provedor de saúde digital e telessaúde. Dados médicos podem revelar o vínculo de uma pessoa com um prestador de serviços de saúde e gerar riscos de uso indevido da identidade para fins médicos, golpes direcionados ou inferências sobre aspectos sensíveis. As fontes públicas não afirmam que o registro de todas as pessoas continha informações médicas.

A fonte não identifica separadamente diagnóstico, tratamento, prescrição, resultado laboratorial, atendimento por telessaúde, número de prontuário, informações de seguro de saúde, nome de médico ou data de atendimento. Portanto, a categoria de informações médicas deve ser interpretada com o mesmo nível de especificidade publicado pelas fontes. Quem recebeu o aviso deve conferir portais de saúde e demonstrativos dos prestadores para identificar serviços ou alterações que não reconheça.

O registro BR-0005188 da Procuradoria-Geral do Texas informa que 15.750 pessoas foram afetadas em todo o país, incluindo 1.179 residentes do Texas. Os aproximadamente 52 residentes de Rhode Island identificados na carta aos consumidores fazem parte do total nacional e não foram somados a ele.

A ZenPatient afirmou que, até a data da carta, não tinha evidências de uso indevido efetivo ou de tentativa de uso indevido das informações de qualquer pessoa em decorrência do evento. Essa constatação, limitada àquele momento, não garante que não haverá uso indevido no futuro. Diante da possibilidade de cópia e do escopo que inclui dados médicos, quem recebeu o aviso deve continuar monitorando atividades incomuns em contas financeiras, de crédito e de saúde.

A empresa protegeu seu ambiente, realizou uma investigação e uma análise abrangentes dos dados com especialistas externos, notificou as autoridades federais responsáveis pela aplicação da lei e os órgãos reguladores pertinentes, revisou as políticas existentes e implementou medidas adicionais de segurança cibernética. Às pessoas elegíveis, foram oferecidos 12 meses gratuitos de monitoramento de crédito e proteção contra roubo de identidade pelo Experian IdentityWorks, com prazo de adesão até 31 de outubro de 2026.

Quem recebeu o aviso deve se cadastrar apenas com o código da sua carta e conferir os relatórios de crédito e a atividade nas contas de saúde para identificar transações, consultas ou serviços que não reconheça. Uma linha de atendimento pelo telefone 833-931-4343 está disponível das 08:00 às 20:00, no horário central, nos dias úteis. Não compartilhe informações de saúde, senhas ou códigos de verificação em mensagens inesperadas que aleguem representar a ZenPatient.