De acordo com registros federais e análises independentes de violações de dados, dois terços das maiores violações de dados na área da saúde na história dos EUA tiveram origem em fornecedores terceirizados, e não em hospitais.
Esses incidentes relacionados a fornecedores expuseram coletivamente centenas de milhões de registros de pacientes, incluindo a violação de 192.7 milhões de registros na Change Healthcare em 2024 — a maior já registrada.
O relatório de setembro de 2025 do HIPAA Journal mostra uma aparente desaceleração nas novas divulgações de violações de dados. Apenas 26 incidentes, afetando 1.29 milhão de pessoas, foram registrados no portal do Escritório de Direitos Civis (OCR) do Departamento de Saúde e Serviços Humanos dos EUA.
No entanto, essa queda não indica uma redução real nas violações. Devido à paralisação do governo federal, o OCR interrompeu a atualização de seu portal público em 24 de setembro, atrasando diversos relatórios pendentes.
Setembro de 2025: Menor número de violações mensais desde 2018.
No final de outubro, o banco de dados do OCR listava 26 grandes incidentes, uma redução de 56% em relação aos 64 de agosto. Os maiores foram ataques a servidores de rede no Goshen Medical Center (456,385 afetados) e na Medical Associates of Brevard (246,711 afetados). Apenas um evento, envolvendo a La Perouse LLC em Nevada, foi atribuído a um sócio comercial.
Mesmo com dados incompletos, o total acumulado no ano é de 469 grandes violações de segurança na área da saúde, em comparação com 554 no mesmo período de 2024. Isso indica uma defasagem temporária na notificação, e não uma melhoria na segurança.
Dados históricos: Fornecedores responsáveis por dois terços das principais violações de segurança.
Embora a amostra de setembro tenda a priorizar provedores de serviços de saúde, dados de longo prazo revelam que os fornecedores são responsáveis pela maioria das violações de segurança em larga escala. Das 20 maiores violações de segurança na área da saúde já registradas, 13 tiveram origem em fornecedores como parceiros comerciais, processadores de faturamento e empresas de análise de dados.
Casos notáveis incluem Welltok, PJ&A, Maximus e HealthEC, todos comprometidos por meio de explorações da vulnerabilidade de transferência de arquivos MOVEit em 2023. O ataque de ransomware à Change Healthcare em 2024, que expôs quase 200 milhões de registros de pacientes, ilustra ainda mais o risco sistêmico da dependência de fornecedores.
Um único fornecedor comprometido pode interromper o processamento de sinistros em vários hospitais e seguradoras, causando exposição de múltiplos clientes em todo o país em questão de dias.
Os maiores vazamentos de dados de saúde dos EUA de todos os tempos
| Ano | Entidade | Estado | Tipo de entidade | Indivíduos afetados |
|---|---|---|---|---|
| 2024 | Mudança Healthcare, Inc. | MN | Associado de Negócios | 192,700,000 |
| 2015 | Anthem Inc. | IN | Plano de saúde | 78,800,000 |
| 2023 | Welltok, Inc. | CO | Associado de Negócios | 14,782,887 |
| 2024 | Plano de saúde da Fundação Kaiser, Inc. | CA | Plano de saúde | 13,400,000 |
| 2019 | Optum360, LLC | MN | Associado de Negócios | 11,500,000 |
| 2023 | HCA Healthcare | TN | Associado de Negócios | 11,270,000 |
| 2015 | Premera Blue Cross | WA | Plano de saúde | 11,000,000 |
| 2019 | Corporação de Laboratórios da América (LabCorp) | NC | Provedor | 10,251,784 |
| 2015 | Excellus Health Plan, Inc. | NY | Plano de saúde | 9,358,891 |
| 2023 | PJ&A (Perry Johnson & Associates) | NV | Associado de Negócios | 9,302,588 |
| 2023 | Máximo, Inc. | VA | Associado de Negócios | 9,179,390 |
| 2023 | Gestão de Cuidados de Saúde da América do Norte | GA | Associado de Negócios | 8,627,242 |
| 2014 | Sistemas Comunitários de Saúde | TN | Provedor | 6,121,158 |
| 2023 | Corporação PharMérica | KY | Provedor | 5,815,591 |
| 2025 | Sistema de saúde de Yale New Haven | CT | Provedor | 5,556,702 |
| 2024 | Saúde da Ascensão | MO | Provedor | 5,466,931 |
| 2025 | Episource, LLC | CA | Associado de Negócios | 5,418,866 |
| 2011 | SAIC | VA | Associado de Negócios | 4,900,000 |
| 2023 | HealthEC LLC | NJ | Associado de Negócios | 4,786,241 |
| 2025 | Escudo azul da Califórnia | CA | Associado de Negócios | 4,700,000 |
Fonte: Portal de Violações de Dados do Escritório de Direitos Civis (OCR) do Departamento de Saúde e Serviços Humanos dos EUA, compilado pelo HIPAA Journal e por fontes independentes. HostScore análise.
Por que os fornecedores continuam sendo o elo mais fraco?
Os parceiros comerciais, incluindo processadores de faturamento, provedores de hospedagem de dados e fornecedores de análises, continuam sendo a camada mais vulnerável no ecossistema de dados de saúde. Normalmente, eles operam fora da supervisão direta dos hospitais e planos de saúde que atendem, o que enfraquece a aplicação das normas de conformidade e a visibilidade de incidentes.
Os fatores de risco comuns incluem infraestruturas de nuvem compartilhadas, servidores mal configurados, atraso na aplicação de patches de software e monitoramento limitado das redes de subcontratados. Cada um deles cria um ponto de entrada que os invasores podem explorar em larga escala.
De acordo com o Identity Theft Resource Center (ITRC), as violações de identidade por terceiros e na cadeia de suprimentos estão entre as três principais causas de violações de dados em todos os setores dos EUA. Os operadores de ransomware estão cada vez mais priorizando os ecossistemas de fornecedores, já que uma única intrusão pode se propagar por diversos clientes da área da saúde, expondo milhões de registros de pacientes em um único ataque coordenado.
Hospedagem em conformidade com a HIPAA como primeira linha de defesa
O aumento nas violações de segurança causadas por fornecedores confirma que a segurança deve começar na camada de hospedagem, e não na camada de aplicação. Quando fornecedores da área da saúde implantam cargas de trabalho em ambientes de nuvem compartilhados ou mal segmentados, uma única configuração incorreta ou credencial fraca pode expor grandes quantidades de informações de saúde protegidas (PHI). Uma base de hospedagem alinhada às normas de conformidade protege os dados sensíveis antes que qualquer interação do usuário ou da aplicação ocorra.
Por exemplo, nos Atlantic.NetHospedagem compatível com HIPAA Ilustra como uma infraestrutura segura pode reduzir a exposição a violações de segurança e simplificar a conformidade para fornecedores da área da saúde. A plataforma é SOC 2 e SOC 3 certificado, HIPAA e HITECH auditado e projetado especificamente para proteger informações eletrônicas de saúde protegidas (ePHI).
Sua arquitetura combina:
- Firewalls dedicados que bloqueiam acessos não autorizados e ameaças externas.
- Armazenamento e transmissão de dados criptografados para evitar interceptação ou adulteração.
- Ambientes computacionais isolados que contêm cargas de trabalho e restringem a movimentação lateral.
- Monitoramento contínuo que detecta anomalias em tempo real.
Ao incorporar esses controles de segurança e conformidade no nível da infraestrutura, a hospedagem compatível com HIPAA permite que os fornecedores de serviços de saúde atendam às exigências federais de privacidade sem depender exclusivamente de defesas de software. HostScoreAs análises da plataforma revelam que a maioria dos fornecedores ainda opera em arquiteturas de nuvem genéricas, sem certificações verificadas, atestados de criptografia ou trilhas de auditoria documentadas.
Em um ecossistema de saúde interconectado, o ambiente de hospedagem tornou-se efetivamente o novo perímetro de segurança. Plataformas projetadas para conformidade com a HIPAA continuam sendo uma das linhas de defesa mais eficazes contra violações de dados em larga escala.
Principal Takeaway
A aparente queda nos números de violações de dados em 2025 reflete atrasos nos relatórios federais, e não uma melhoria na segurança. Mais de dez anos de registros confirmam que dois terços das principais violações de dados na área da saúde tiveram origem em fornecedores terceirizados.
À medida que as redes de saúde se tornam cada vez mais interconectadas, a infraestrutura dos fornecedores e a verificação de conformidade tornam-se essenciais. A verdadeira proteção de dados começa na camada de hospedagem, onde fornecedores auditados e em conformidade com a HIPAA Estabelecer padrões mensuráveis para salvaguardar as informações do paciente e manter a conformidade regulatória.
Fontes:
- Relatório HIPAA – Setembro de 2025 sobre Violações de Dados na Área da Saúde (22 de outubro de 2025)
- Departamento de Saúde e Serviços Humanos dos EUA (HHS) – Portal do Escritório de Violações de Direitos Civis
- Relatório de Violação de Dados do Centro de Recursos para Roubo de Identidade (ITRC) do 3º Trimestre de 2025
- HostScore análise de dados independente, outubro de 2025
