← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

Vazamentos na saúde dos EUA: o caso Change Healthcare e a HIPAA

O ataque à Change Healthcare expôs dados de 192,7 milhões de pessoas. Veja os números de vazamentos na saúde dos EUA e o que muda na regra de segurança HIPAA.

2026-10-17

Em fevereiro de 2024, criminosos entraram num portal de acesso remoto da Change Healthcare, empresa do UnitedHealth Group que processa grande parte das cobranças médicas dos EUA. O portal não tinha autenticação multifator. Nove dias depois, veio o ransomware. O resultado foi o maior vazamento de dados de saúde da história americana.

O ataque, passo a passo

12/fev/2024: acesso com credenciais roubadas a um portal Citrix sem MFA.
21/fev/2024: a empresa divulga a pane; o grupo BlackCat/ALPHV assume o ataque.
Resgate: a UnitedHealth confirmou o pagamento; uma carteira ligada ao grupo recebeu US$ 22 milhões. Depois, o afiliado teria levado os dados ao grupo RansomHub para exigir mais.
Impacto: farmácias e clínicas ficaram sem processar cobranças; os empréstimos emergenciais da UnitedHealth a prestadores passaram de US$ 8,9 bilhões.
Custo: cerca de US$ 2,87 bilhões estimados para 2024.
31/jul/2025: o número de afetados sobe para 192,7 milhões de pessoas.

Os números do setor

Ano	Grandes vazamentos (500+)	Pessoas afetadas
2024	741	mais de 289 milhões
2025	772	cerca de 138,5 milhões
2026 (jan–abr)	252	em apuração

Segundo o HIPAA Journal, ataques hacker e incidentes de TI responderam por mais de 80% dos grandes vazamentos em 2025. Outros casos recentes: Conduent (cerca de 62,2 milhões), Aflac (cerca de 13,9 milhões) e DentaQuest (15 milhões).

A saúde é alvo preferencial porque reúne dados que não podem ser trocados como uma senha, porque a interrupção do atendimento pressiona pelo pagamento do resgate e porque intermediários como a Change concentram o fluxo de milhares de prestadores.

O problema dos fornecedores

O HIPAA Journal contabiliza 139 grandes vazamentos informados por "business associates" (fornecedores com acesso a dados) em 2025, número que subestima o problema porque muitos são reportados pelos próprios hospitais. A Change atende mais de 30 mil farmácias, e por isso sua pane chegou a pacientes do país inteiro. O primeiro registro no portal do HHS listava só 500 pessoas, como estimativa provisória.

A conta do ransomware

Até o terceiro trimestre de 2024, a UnitedHealth havia contabilizado cerca de US$ 1,7 bilhão em custos diretos de resposta e US$ 747 milhões em custos de interrupção dos negócios no ano. Os prestadores tinham devolvido cerca de US$ 3,2 bilhões dos empréstimos emergenciais.

A reforma da HIPAA

Em janeiro de 2025, o Departamento de Saúde (HHS) propôs a primeira grande revisão da Regra de Segurança da HIPAA em mais de uma década. Pelo texto, seriam obrigatórios criptografia de dados de saúde em repouso e em trânsito, autenticação multifator e todas as salvaguardas hoje apenas "recomendáveis". A proposta sofreu críticas do setor pelo custo e, segundo o escritório Holland & Knight, a versão final só deve sair por volta de julho de 2027.

Os dados expostos na Change provavelmente incluíram nomes, números de Seguro Social, históricos médicos, informações de seguro e dados de pagamento. O CEO Andrew Witty chegou a dizer ao Congresso, em maio de 2024, que cerca de um terço da população americana poderia ter sido afetada.

O que fazer

Organizações: exigir MFA em todo acesso remoto, mapear fornecedores com acesso a dados, testar planos de contingência para semanas sem o intermediário de cobrança e manter backups off-line.
Pacientes: ler os avisos de vazamento, aderir ao monitoramento de crédito oferecido, considerar congelar o crédito e conferir extratos do plano de saúde.
Todos: desconfiar de ligações e e-mails que citam o vazamento; golpistas exploram a notícia.

Para o Brasil, a lição é direta: hospitais, operadoras e laboratórios lidam com dados sensíveis sob a LGPD, e um único fornecedor sem MFA pode parar uma rede inteira.