A empresa de saúde AdaptHealth confirmou que dados de 4,1 milhões de pessoas foram expostos em um cyberattack descoberto em julho e atribuído ao grupo de ameaça ShinyHunters.
A companhia fornece dispositivos médicos para uso domiciliar, insumos e serviços relacionados, incluindo equipamentos para apneia do sono e problemas respiratórios, terapia com oxigênio, camas hospitalares e produtos de mobilidade.
A AdaptHealth informou o incidente pela primeira vez em um documento enviado à U.S. Securities and Exchange Commission (SEC) em 2 de julho de 2026, dizendo que atacantes acessaram seus sistemas e exfiltraram dados privados.
Na ocasião, a investigação da empresa confirmou que a intrusão havia ocorrido anteriormente e envolveu acesso a aplicativos corporativos baseados em cloud, incluindo determinados sistemas internos de gestão de pacientes, plataformas de armazenamento de documentos e portais de sistemas de registros eletrônicos de saúde.
Em 15 de junho, um threat actor não identificado entrou em contato com a AdaptHealth para exigir o pagamento de um resgate em troca de não vazar os dados roubados.
A empresa acrescentou que a violação ocorreu por meio de uma tentativa bem-sucedida de engenharia social, que comprometeu a conta privilegiada de um contratado terceirizado.
Em uma atualização em 14 de agosto, a AdaptHealth informou que a invasão havia ocorrido em 5 de junho e que pode ter exposto os seguintes dados:
Nomes completos
Informações de contato
Informações demográficas
Informações sobre plano de saúde
Informações de saúde
As pessoas afetadas já devem ter recebido uma notificação de data breach com instruções sobre como se inscrever, sem custo, em um serviço de monitoramento de crédito e proteção de identidade por 12 meses.
Na época, a AdaptHealth afirmou não ter encontrado evidências de roubo de identidade, fraude ou outro uso indevido dos dados roubados no ataque.
Segundo informações no site da empresa, a AdaptHealth atendia cerca de 4,1 milhões de pacientes em todos os 50 estados dos EUA por meio de uma rede de 680 unidades, em julho de 2024.
Em uma comunicação ao U.S. Department of Health and Human Services, o data breach da AdaptHealth afeta 4.115.802 pessoas.
O HIPAA Journal havia informado anteriormente que o ShinyHunters era o responsável pelo ataque, com base no fato de o threat actor ter adicionado a empresa à lista de vítimas.
No entanto, segundo jornalistas não foi encontrada uma entrada da AdaptHealth no portal de extorsão do ShinyHunters, o que indica que o threat actor removeu a empresa.
A confirmação da AdaptHealth sobre o impacto do data breach ocorre após divulgações recentes semelhantes de empresas de health-tech como Aesto Health, CareCloud e Unlimited Technology Systems.
A McKesson e a Nutex Health também divulgaram incidentes de data breach no fim do mês passado, mas nenhuma das duas ainda determinou o número de pessoas afetadas.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...