A One Medical, empresa de atenção primária à saúde controlada pela Amazon, confirmou um incidente de segurança envolvendo informações de pacientes depois que um sistema terceirizado utilizado para armazenar arquivos históricos foi acessado sem autorização.
Separadamente, o grupo de extorsão ShinyHunters assumiu a responsabilidade pelo ataque e afirmou ter roubado aproximadamente 8,8 terabytes de dados, ameaçando publicar o material.
A informação apresentada na imagem é verdadeira em essência, mas exige duas correções importantes.
Primeiro, os 8,8 TB são uma alegação do ShinyHunters, e não um volume confirmado pela One Medical.
Segundo, o incidente não atingiu toda a infraestrutura da One Medical ou da Amazon. A investigação da empresa delimitou o comprometimento a um sistema terceirizado de armazenamento contendo registros arquivados da antiga Iora Health, hoje One Medical Seniors.
Acesso ocorreu durante quatro dias
A One Medical identificou o incidente em 13 de junho de 2026.
A investigação concluiu que uma pessoa não autorizada conseguiu acessar o sistema terceirizado entre 8 e 11 de junho.
Assim que tomou conhecimento do problema, a empresa afirmou ter desativado o ambiente afetado e revogado os acessos.
A investigação também envolveu medidas adicionais de segurança e análise para determinar quais informações haviam sido expostas.
Arquivos pertenciam à antiga Iora Health
Esse detalhe transforma o incidente em um caso particularmente interessante de segurança após fusões e aquisições.
A Iora Health era uma empresa especializada principalmente em cuidados primários para idosos.
A One Medical adquiriu a companhia em 2021, em uma operação avaliada em aproximadamente US$ 2,1 bilhões.
Posteriormente, a Amazon comprou a própria One Medical por cerca de US$ 3,9 bilhões, concluindo a aquisição em 2023.
Assim, parte dos dados envolvidos no incidente percorreu uma cadeia de mudanças societárias.
Eles foram originalmente coletados pela Iora Health, passaram para a One Medical e acabaram sob uma empresa controlada pela Amazon.
Sistemas principais da One Medical não foram atingidos
A empresa afirma que o incidente ficou isolado ao sistema terceirizado utilizado para armazenar dados históricos.
O ambiente principal de registros médicos eletrônicos da One Medical não foi afetado, segundo a investigação divulgada pela companhia.
Outros sistemas da empresa também não teriam sido comprometidos.
A Amazon, por sua vez, não teve seus sistemas corporativos atingidos pelo incidente.
Isso significa que seria incorreto apresentar o episódio como uma invasão generalizada à infraestrutura da Amazon.
Dados médicos e demográficos foram acessados
Os arquivos comprometidos continham informações relacionadas a pacientes da One Medical Seniors e da antiga Iora Health.
Dependendo da pessoa afetada, os registros podem envolver informações demográficas e dados clínicos.
Notificações relacionadas ao incidente indicam que os dados potencialmente expostos podem incluir informações como:
nomes e contatos;
dados demográficos;
números do Medicare;
números de Social Security;
informações de diagnóstico;
planos de tratamento;
prescrições;
e informações relacionadas a exames e imagens médicas.
Nem todos os pacientes necessariamente tiveram todos esses campos expostos.
Pacientes de diferentes regiões aparecem no incidente
A investigação identificou registros relacionados a determinadas unidades e regiões onde a antiga Iora Health e a One Medical Seniors operavam.
Entre elas estão áreas de Atlanta, Cape Cod, Charlotte, Piedmont Triad, Denver, Houston, Phoenix, Tucson e Seattle.
A One Medical começou posteriormente a enviar notificações aos indivíduos identificados como afetados.
A companhia descreveu o universo comprometido como um número limitado de pacientes, sem inicialmente divulgar publicamente uma quantidade total consolidada.
ShinyHunters afirma ter 8,8 TB
Foi nesse ponto que apareceu o número mais chamativo do incidente.
O ShinyHunters afirmou ter extraído 8,8 terabytes de informações.
O grupo adicionou a One Medical à sua infraestrutura de extorsão e ameaçou tornar os dados públicos caso suas exigências não fossem atendidas.
Mas esse número precisa continuar acompanhado da palavra “alega”.
A One Medical não confirmou que 8,8 TB tenham sido efetivamente roubados.
Também não se deve converter automaticamente esse volume em uma quantidade estimada de pacientes.
Terabytes não equivalem a milhões de vítimas
Esse é um erro comum na cobertura de vazamentos.
Um banco de dados contendo nomes, CPFs ou números de telefone pode armazenar milhões de registros utilizando relativamente pouco espaço.
Arquivos médicos são diferentes.
Exames de imagem, PDFs, documentos digitalizados e outros arquivos clínicos podem ocupar muito mais armazenamento por pessoa.
Portanto, 8,8 TB não permitem concluir quantos pacientes foram afetados.
É necessário esperar pela identificação individual realizada durante a investigação.
Grupo inicialmente usou extorsão para pressionar empresa
O ShinyHunters é conhecido principalmente por operações de roubo de dados e extorsão.
Em vez de depender exclusivamente de criptografar servidores como ocorre no ransomware tradicional, grupos desse tipo procuram obter grandes volumes de informações confidenciais.
Depois, pressionam a vítima:
pague para evitar a publicação.
Essa estratégia pode ser particularmente eficiente contra organizações de saúde, porque dados médicos possuem elevado nível de sensibilidade.
Prazo da extorsão já passou
A imagem afirma que o grupo “não deu um prazo fixo”.
Esse ponto não corresponde completamente ao histórico do incidente.
Relatos sobre a negociação indicaram que o ShinyHunters estabeleceu 22 de junho como prazo para que a One Medical iniciasse negociações.
Portanto, existiu uma referência temporal específica durante a fase de extorsão.
Além disso, posteriormente surgiram relatos de que o grupo teria avançado para a etapa de publicação do material depois que as negociações não ocorreram.
Entretanto, a extensão e o conteúdo do conjunto efetivamente publicado não foram confirmados pela One Medical.
Assim, é necessário separar três coisas:
o acesso ao arquivo terceirizado, que foi confirmado;
os 8,8 TB, que são alegação dos atacantes;
e a publicação integral desse volume, que também não deve ser tratada como fato confirmado pela empresa.
Dados médicos possuem valor especial para criminosos
Informações de saúde apresentam uma característica diferente de uma senha.
Uma senha pode ser alterada.
Um cartão bancário pode ser cancelado.
Um token pode ser revogado.
Mas uma pessoa não consegue simplesmente trocar seu histórico médico.
Diagnósticos, tratamentos, medicamentos, condições clínicas e outros registros podem permanecer relacionados ao indivíduo durante toda a vida.
Isso torna vazamentos dessa natureza especialmente sensíveis.
Dados podem alimentar golpes personalizados
Existe ainda o risco de engenharia social.
Imagine um criminoso sabendo:
o nome da vítima;
a clínica que ela frequentou;
um tratamento realizado;
um medicamento utilizado;
e seus dados de contato.
Uma mensagem fraudulenta utilizando essas informações pode parecer extremamente convincente.
O criminoso pode se apresentar como clínica, seguradora, laboratório, farmácia ou profissional de saúde.
Quanto mais informações verdadeiras aparecem na abordagem, maior a possibilidade de a vítima acreditar.
Números do Medicare e Social Security ampliam risco
Quando registros médicos são combinados com identificadores governamentais, o potencial de fraude cresce.
Nos Estados Unidos, números de Social Security são frequentemente utilizados em processos de identificação financeira.
Dados relacionados ao Medicare também podem ser explorados em esquemas envolvendo serviços médicos e seguros.
Por isso, incidentes de saúde podem gerar consequências que vão além da privacidade clínica.
O elo fraco estava nos dados antigos
Talvez a principal lição do caso esteja justamente no fato de os dados estarem arquivados.
Empresas normalmente investem grande quantidade de recursos na proteção dos sistemas utilizados diariamente.
Servidores recebem atualizações.
Usuários recebem MFA.
Aplicações são monitoradas.
Alertas são enviados para centros de operações de segurança.
Mas dados históricos podem permanecer durante anos em sistemas antigos.
E eles continuam valiosos.
Aquisições criam dívidas de cibersegurança
O incidente também expõe um problema frequente em grandes aquisições.
Quando uma empresa compra outra, não recebe apenas clientes, funcionários, contratos e propriedade intelectual.
Recebe também:
bancos de dados;
servidores antigos;
aplicações legadas;
fornecedores;
contas;
credenciais;
backups;
arquivos;
e obrigações regulatórias.
Essa infraestrutura herdada pode permanecer ativa muito depois de a marca adquirida desaparecer.
Amazon comprou uma empresa que já havia comprado outra
O caso da One Medical ilustra perfeitamente essa cadeia.
A Amazon adquiriu a One Medical.
A One Medical já havia adquirido a Iora Health.
Os dados atingidos estavam associados justamente à empresa adquirida anteriormente.
Em outras palavras, o incidente alcançou uma camada histórica da infraestrutura corporativa.
Esse tipo de situação torna inventários de dados extremamente importantes durante processos de fusões e aquisições.
Terceiros continuam sendo um dos maiores riscos
Existe ainda outro componente.
O armazenamento comprometido era operado por um terceiro.
Isso demonstra novamente que a segurança de uma empresa não termina em sua própria rede.
Organizações podem possuir excelentes controles internos e continuar expostas através de:
provedores de nuvem;
empresas de armazenamento;
processadores de pagamento;
prestadores de suporte;
softwares corporativos;
e fornecedores com acesso a informações sensíveis.
No setor de saúde, esse risco é ainda maior devido ao volume de dados compartilhados entre diferentes organizações.
Responsabilidade sobre dados não desaparece com arquivamento
Um arquivo deixar de ser utilizado diariamente não significa que perdeu sua sensibilidade.
Essa é uma das principais lições do incidente.
Se determinada informação precisa ser mantida por razões legais ou clínicas, ela ainda precisa ser protegida.
Se não existe mais necessidade legítima de armazená-la, a empresa precisa avaliar políticas adequadas de retenção e descarte.
Guardar dados indefinidamente cria um problema simples:
quanto mais informação uma organização mantém, maior pode ser o impacto de uma futura invasão.
Incidente já provocou disputas judiciais
O caso também começou a produzir consequências jurídicas.
Pacientes apresentaram ações contra a One Medical nos Estados Unidos alegando falhas na proteção das informações.
Entre as acusações aparecem questionamentos sobre segurança do ambiente terceirizado e proteção dos registros arquivados.
Essas alegações ainda precisam percorrer o processo judicial e não equivalem a uma decisão de responsabilidade contra a empresa.
Mas mostram como um incidente de dados pode rapidamente transformar um problema técnico em risco jurídico e financeiro.
ShinyHunters intensifica ataques contra grandes empresas
O nome ShinyHunters tem aparecido repetidamente em grandes incidentes de segurança.
O grupo está associado a campanhas de roubo de dados, comprometimento de ambientes corporativos e extorsão.
Em 2026, sua atividade voltou a ganhar destaque com ataques ou reivindicações envolvendo organizações de grande porte.
A estratégia demonstra uma mudança relevante no cibercrime.
Criptografar servidores não é mais requisito para causar enorme pressão sobre uma empresa.
Às vezes, roubar os dados é suficiente.
Saúde continua sendo alvo privilegiado
Hospitais, laboratórios, seguradoras e empresas de tecnologia médica possuem uma combinação especialmente atraente para criminosos.
Armazenam dados pessoais.
Informações financeiras.
Documentos governamentais.
Históricos médicos.
Informações de seguros.
E frequentemente dependem de sistemas que precisam permanecer disponíveis continuamente.
Essa combinação transforma o setor em um dos ambientes de maior impacto potencial para ataques cibernéticos.
Caso é confirmado, mas 8,8 TB continuam sendo alegação
A publicação apresentada, portanto, precisa ser interpretada com cautela.
O incidente de segurança na One Medical é real.
O acesso não autorizado ao sistema terceirizado contendo dados históricos de pacientes foi confirmado pela empresa.
A associação desses registros à antiga Iora Health/One Medical Seniors também foi confirmada.
O que permanece diferente é a dimensão apresentada pelos criminosos.
Os 8,8 terabytes são uma alegação do ShinyHunters e não um volume oficialmente confirmado pela One Medical.
Também é incorreto sugerir que toda a One Medical ou a infraestrutura da Amazon tenha sido invadida.
O comprometimento conhecido ficou associado a um repositório terceirizado de dados históricos.
Ainda assim, o episódio deixa uma mensagem importante para qualquer organização que realiza aquisições:
dados antigos não representam riscos antigos.
Enquanto continuarem armazenados, permanecem atraentes para criminosos — e continuam sendo responsabilidade de quem os mantém.
