Levou nove meses a avisar: a fuga que expôs 3,8 milhões de doentes

Uma empresa norte-americana de software de gestão clínica e faturação hospitalar confirmou aquela que é, até agora, a maior violação de dados de saúde reportada em 2026 nos Estados Unidos. A Unlimited Technology Systems, LLC — conhecida comercialmente como Unlimited Systems — detetou atividade não autorizada no seu centro de dados a 19 de outubro de 2025, mas só começou a notificar as pessoas afetadas em julho de 2026. Entre a intrusão e o aviso aos titulares dos dados passaram cerca de nove meses. O número de pessoas envolvidas ascende a 3,8 milhões.

Um fornecedor invisível para os doentes

A Unlimited Technology Systems, LLC, que opera como Unlimited Systems, é uma empresa de software de saúde e gestão de ciclo de receita com sede em Montgomery, Ohio, e fornece tecnologia de gestão financeira e de práticas clínicas a prestadores especializados em todos os Estados Unidos, o que significa que os seus sistemas podem conter dados pessoais e clínicos de doentes de muitas unidades diferentes, incluindo pessoas sem qualquer relação direta com a empresa.

É precisamente esta a característica que torna o incidente relevante muito para além do caso concreto. O doente nunca contratou a Unlimited Systems, nunca visitou o seu site e provavelmente nunca ouviu o seu nome — mas os seus dados de identificação, seguro e diagnóstico estavam lá. Os chamados business associates das organizações de saúde são alvos atrativos para o cibercrime porque, comprometido um único sistema, é possível alcançar dados clínicos altamente sensíveis de múltiplas entidades; seis das dez maiores violações reportadas este ano ocorreram em fornecedores deste tipo, tal como metade das maiores violações de dados de saúde de sempre.

Cronologia do incidente

A carta-modelo de notificação submetida às autoridades estaduais norte-americanas permite reconstruir a sequência com bastante precisão — algo raro neste tipo de casos.

Segundo a notificação divulgada pelo estado do Massachusetts, a empresa descobriu a atividade não autorizada no seu centro de dados comercial a 19 de outubro de 2025, contratou de imediato uma empresa forense de cibersegurança, alertou as autoridades e reviu os dados envolvidos, tendo encontrado indícios de que um agente não autorizado obteve cópia de informação pessoal entre 5 e 10 de outubro de 2025. O registo submetido ao Procurador-Geral da Califórnia indica 5 de outubro de 2025 como data de início da violação.

Quanto à escala, o resumo publicado no portal de violações do Office for Civil Rights do departamento de Saúde norte-americano indica que o incidente envolveu informação de saúde protegida de 3.803.750 indivíduos. Trata-se da maior violação de dados de saúde do ano até à data, à frente do incidente de 3,4 milhões de registos na Trizetto Provider Solutions. Até ao momento, nenhum grupo parece ter reivindicado o ataque.

Que dados foram comprometidos

De acordo com a notificação-modelo entregue às autoridades, a informação potencialmente afetada inclui nomes, números de apólice de seguro de saúde, dados de sinistros ou prestações, números de processo clínico, datas de prestação de cuidados, informação de diagnóstico, cartas de condução e documentos de identificação emitidos por entidades públicas, cartões de seguro, formulários de admissão, números de Segurança Social, datas de nascimento, endereços de correio eletrónico e postais, números de telefone e dados demográficos — variando o grau de exposição de pessoa para pessoa.

A empresa afirma que a violação não envolveu registos clínicos completos, imagiologia médica nem informação financeira como números de cartão de crédito ou de conta bancária. Está a disponibilizar dois anos gratuitos de serviços de monitorização de identidade através da Kroll, com inscrição mediante código de ativação e identificador de verificação incluídos na carta de notificação e sujeita a um prazo limite.

Não foram divulgados publicamente indicadores de comprometimento (IOC), identificadores CVE associados a uma vulnerabilidade explorada, nem o vetor inicial de acesso. Na ausência dessa informação técnica, não é possível afirmar se houve exploração de uma falha conhecida, credenciais comprometidas ou acesso via terceiros — e este artigo não especula sobre isso.

Nove meses de silêncio: o contraste com as regras europeias

O elemento mais desconfortável deste caso não é a dimensão, é o calendário. A violação foi formalmente comunicada ao Procurador-Geral do Iowa a 1 de julho de 2026, cerca de nove meses depois do incidente — um intervalo alargado entre descoberta e notificação pública que não é invulgar em casos que envolvem grandes volumes de dados ou vários prestadores de saúde afetados. A empresa não explicou publicamente o motivo da demora.

Em território europeu, o enquadramento seria substancialmente diferente. O RGPD impõe ao responsável pelo tratamento a notificação da violação à autoridade de controlo — em Portugal, a CNPD — sem demora injustificada e, sempre que possível, até 72 horas após ter tido conhecimento dela. Quando é provável que a violação implique um risco elevado para os direitos e liberdades das pessoas, os próprios titulares têm de ser informados. Tratando-se de dados de saúde, que integram as categorias especiais de dados do artigo 9.º, o patamar de risco atinge-se com facilidade. Há ainda uma segunda camada: o subcontratante tem de alertar o responsável pelo tratamento logo que tenha conhecimento da violação — ou seja, um fornecedor tecnológico não pode gerir sozinho o relógio da notificação.

O que as organizações devem retirar deste caso

• Inventariar quem trata os seus dados. Faturação, agendamento, transcrição clínica, arquivo documental: mapear cada subcontratante e o tipo de dados que lhe é confiado é o primeiro passo, e é também uma exigência de conformidade.
• Fixar prazos contratuais de comunicação. Os contratos de subcontratação devem obrigar o fornecedor a notificar em horas, não em meses, e prever cooperação na investigação forense.
• Exigir evidência, não declarações. Certificações, relatórios de testes de intrusão, política de retenção e prova de segregação de ambientes valem mais do que um questionário preenchido uma vez por ano.
• Minimizar e apagar. Grande parte dos dados expostos neste tipo de incidentes são cópias digitalizadas de documentos que já não precisavam de estar armazenadas.
• Preparar o plano de notificação antes de precisar dele. Modelos de comunicação à CNPD e aos titulares, cadeia de decisão e porta-voz definidos poupam dias críticos.

Para os cidadãos cujos dados possam ter sido expostos em incidentes desta natureza, a recomendação é prática: desconfiar de contactos não solicitados que invoquem seguros de saúde, comparticipações ou reembolsos, nunca confirmar dados pessoais por telefone ou e-mail a pedido de terceiros, e ativar autenticação multifator nos serviços onde o endereço de correio eletrónico exposto é usado como identificador.

Porque é que isto importa em Portugal

Nenhuma entidade portuguesa foi identificada como afetada por este incidente concreto. A relevância é estrutural. O setor da saúde é um dos que integra os Centros de Análise e Partilha de Informação acompanhados pelo CNCS e, na 6.ª edição do Relatório Cibersegurança em Portugal – Riscos & Conflitos, o CNCS assinalou um aumento significativo dos incidentes no ciberespaço de interesse nacional em 2024, num ano marcado por ransomware, indisponibilidades e grandes fugas de credenciais envolvendo administração pública, operadores de serviços essenciais e prestadores de serviços digitais. O mesmo relatório concluiu existir uma perceção elevada de aumento do risco para 2025, resultante de 90% das respostas a um inquérito dirigido a profissionais de entidades dos setores da água, energia, media, portos marítimos, retalho/distribuição e saúde, entre outros.

A este cenário soma-se a nova moldura legal. Com o Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025), que transpõe a Diretiva NIS2, a segurança da cadeia de fornecimento deixou de ser boa prática para passar a ser matéria de gestão de risco exigível, com deveres reforçados de comunicação de incidentes ao CNCS/CERT.PT e responsabilização dos órgãos de gestão. Um hospital, uma clínica ou um laboratório abrangidos pelo regime respondem pela postura de segurança dos fornecedores que tratam dados em seu nome — exatamente como acontece no caso Unlimited Systems, em que quem sofre as consequências não é apenas o fornecedor, mas cada prestador de cuidados e cada doente na sua base de dados.

A lição operacional é simples de enunciar e difícil de executar: uma organização não pode subcontratar o risco. Pode subcontratar o processamento, o alojamento e a faturação — a responsabilidade perante o titular dos dados fica sempre em casa.

Perguntas frequentes

Quantas pessoas foram afetadas pela violação na Unlimited Systems?

O portal de violações do Office for Civil Rights norte-americano regista 3.803.750 pessoas afetadas, o que faz deste o maior incidente de dados de saúde reportado nos Estados Unidos em 2026 até ao momento.

Que tipo de dados foram comprometidos?

Nomes, datas de nascimento, números de Segurança Social, contactos, números de processo clínico, diagnósticos, datas de prestação de cuidados, dados de seguro e sinistros, e documentos digitalizados como cartas de condução, identificações oficiais e cartões de seguro. A empresa afirma que não foram acedidos registos clínicos completos, imagiologia nem dados bancários.

Existem entidades ou cidadãos portugueses afetados?

Não há qualquer indicação pública de impacto em Portugal. A empresa presta serviços a organizações de saúde nos Estados Unidos e as notificações foram submetidas a autoridades estaduais norte-americanas.

Em Portugal, qual seria o prazo para notificar um incidente semelhante?

O RGPD exige a notificação à CNPD sem demora injustificada e, quando possível, no prazo de 72 horas após conhecimento da violação, com comunicação aos titulares sempre que exista risco elevado. As entidades abrangidas pelo Regime Jurídico da Cibersegurança têm ainda deveres próprios de comunicação de incidentes ao CNCS/CERT.PT.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Unlimited Technology Systems nas notificações submetidas às autoridades dos estados do Massachusetts, Califórnia e Iowa, no portal de violações do Office for Civil Rights do Departamento de Saúde dos Estados Unidos e em relatórios do Centro Nacional de Cibersegurança.