Fuga de dados na CareCloud salta para 3,7 milhões: o número que mudou tudo

O balanço do ataque informático à CareCloud, fornecedora norte-americana de software clínico e de registos de saúde eletrónicos, aumentou drasticamente. Depois de as primeiras notificações a procuradores-gerais estaduais apontarem para cerca de 345 mil pessoas, o registo oficial no portal de violações de dados do Office for Civil Rights (OCR) do Departamento de Saúde norte-americano passou a indicar mais de três milhões de indivíduos — e foi entretanto revisto em alta para 3.756.469. O incidente teve origem no acesso não autorizado a um ambiente na Amazon Web Services (AWS) durante seis dias de março de 2026 e envolve nomes, números de Segurança Social, documentos de identificação, dados bancários e informação clínica.

O que aconteceu na CareCloud

A empresa detetou o problema como uma falha de rede aparentemente banal. A CareCloud indicou ter sofrido uma disrupção de rede a 16 de março de 2026 que afetou um dos seus ambientes de registos de saúde eletrónicos; especialistas externos de cibersegurança concluíram que o ambiente AWS em causa foi acedido por um terceiro não autorizado entre 10 e 16 de março de 2026, tendo o agente de ameaça alegado ter exfiltrado bases de dados desse ambiente. Segundo a notificação submetida às autoridades do Massachusetts, não existe evidência de atividade não autorizada no ambiente da CareCloud desde 16 de março de 2026.

A dimensão do problema esteve, desde o início, no modelo de negócio. A CareCloud é um business associate de hospitais e consultórios médicos e trabalha com mais de 45.000 prestadores, fornecendo software que inclui sistemas de registos de saúde eletrónicos — e foi precisamente esse ambiente que sofreu o acesso não autorizado. A empresa, cotada em bolsa e sediada em Somerset, Nova Jérsia, comunicou o incidente à SEC através de um formulário 8-K a 24 de março de 2026, descrevendo uma disrupção isolada que afetou temporariamente funcionalidades e o acesso a dados na divisão CareCloud Health, com o acesso do atacante a um de seis ambientes de registos clínicos a durar cerca de oito horas.

Cronologia do incidente

De acordo com o acompanhamento jurídico do caso, a CareCloud concluiu a revisão dos dados afetados a 24 de junho de 2026 e começou a enviar as cartas de notificação por volta de 25 de julho de 2026, cerca de quatro meses após a deteção do incidente. Esse intervalo é um dos pontos mais sensíveis do caso: a Breach Notification Rule da HIPAA exige que entidades cobertas e respetivos business associates notifiquem os titulares sem demora injustificada e no máximo 60 dias após a descoberta.

Que dados foram comprometidos

As categorias variam de pessoa para pessoa, mas o conjunto é particularmente sensível. A CareCloud confirmou que os dados comprometidos incluem nomes, endereços, datas de nascimento, números de Segurança Social, números de carta de condução ou de documento de identificação governamental, números de conta financeira, números de cartão de crédito e débito e informação médica e de seguro de saúde, sendo os tipos exatos detalhados em cada carta individual. As notificações às autoridades referem ainda documentos de identificação emitidos por entidades públicas, como passaportes, e informação financeira, incluindo dados de conta bancária e números de cartão de pagamento, a par de um volume significativo de informação clínica e de saúde.

Quanto à autoria, mantém-se o silêncio. O agente de ameaça não foi identificado publicamente e nenhum grupo de ransomware reclamou o ataque até 3 de agosto de 2026. A empresa confirmou que um agente de ameaça alegou ter roubado dados sensíveis, mas nenhum grupo assumiu publicamente a responsabilidade. A ausência de publicação em portais de extorsão pode ter várias explicações e não deve, por si só, ser lida como prova de que os dados não circulam.

De 345 mil para 3,7 milhões: como cresceu o número

A escalada da contagem ilustra bem as limitações da divulgação fragmentada por estado. A dimensão da fuga foi difícil de determinar porque muitos procuradores-gerais estaduais não tornam públicas as violações que afetam residentes e, entre os que o fazem, poucos indicam o número de pessoas envolvidas. Com a inclusão no portal de violações do OCR, tornou-se claro que se trata de uma das maiores fugas de dados de saúde do ano, com acesso não autorizado à informação de saúde protegida eletrónica de 3.371.508 pessoas. A contagem foi depois atualizada para 3.756.469 indivíduos, após os registos estaduais iniciais apontarem números muito inferiores.

Do lado das medidas de mitigação para os titulares, a empresa está a disponibilizar até 24 meses gratuitos de proteção contra roubo de identidade, monitorização de crédito e serviços de recuperação de identidade, com uma apólice de reembolso de seguro de 1.000.000 de dólares. As cartas começaram a ser enviadas e determinados titulares recebem até 24 meses de serviços gratuitos, ainda que apenas quando exigido pela lei estadual aplicável. A CareCloud afirma ter contratado especialistas externos, protegido o ambiente afetado, eliminado a ameaça e confirmado que não subsistiu acesso não autorizado persistente, comprometendo-se a continuar a reforçar a segurança dos seus sistemas.

Medidas concretas para quem foi notificado

• Ativar os serviços de monitorização de identidade dentro do prazo indicado na carta recebida.
• Revisar extratos bancários e de cartão e comunicar de imediato movimentos desconhecidos à instituição financeira.
• Verificar declarações e faturação de seguros de saúde à procura de atos clínicos não reconhecidos — é aí que a fraude de identidade médica costuma aparecer primeiro.
• Desconfiar de mensagens, chamadas e e-mails que invoquem o incidente ou dados clínicos: campanhas de phishing seguem tipicamente as fugas mediáticas.
• Nunca fornecer credenciais ou códigos de autenticação por telefone ou e-mail, mesmo que o interlocutor cite dados corretos.
• Confirmar o estado do registo oficial no portal público de violações em ocrportal.hhs.gov.

Porque é que este caso importa em Portugal

Não há indicação pública de que utentes portugueses estejam envolvidos: a CareCloud opera junto de prestadores de saúde nos Estados Unidos e o enquadramento legal aplicável é a HIPAA e as leis estaduais. A lição, porém, é transferível quase sem tradução — o alvo não foi um hospital, foi o fornecedor que aloja os dados de milhares de hospitais e consultórios. Consultórios, hospitais e clínicas alimentam os sistemas da empresa com registos de doentes, o que significa que um ataque à CareCloud é, na prática, um ataque a todos os utentes desses prestadores.

Em Portugal, essa dependência de terceiros é hoje matéria de lei. O Decreto-Lei n.º 125/2025, publicado a 4 de dezembro de 2025, aprovou o novo Regime Jurídico da Cibersegurança, transpondo a Diretiva (UE) 2022/2555 (NIS2), e o CNCS passa a assumir de forma reforçada o papel de autoridade nacional de cibersegurança e ponto de contacto único. O setor da saúde está entre os abrangidos, e a gestão do risco na cadeia de fornecimento — incluindo prestadores de software clínico, faturação e alojamento em nuvem — é parte das obrigações de segurança, tal como o reporte de incidentes significativos. O CNCS disponibilizou a plataforma MyCiber, na sequência do Regulamento n.º 756/2026, como canal oficial de registo, autoidentificação, comunicações formais e notificação de incidentes ao abrigo do DL 125/2025.

Há também um contraste evidente de prazos. Nos EUA, a notificação individual chegou cerca de quatro meses depois da deteção; na União Europeia, o RGPD obriga o responsável pelo tratamento a notificar a autoridade de controlo — em Portugal, a CNPD — no prazo de 72 horas após o conhecimento de uma violação de dados pessoais, e a informar os titulares quando exista risco elevado para os seus direitos e liberdades. Dados de saúde são categorias especiais, com exigências reforçadas. Para clínicas, laboratórios e PME do setor, a mensagem prática é dupla: exigir por contrato aos fornecedores prazos e conteúdos de notificação compatíveis com as obrigações legais próprias e testar, antes do incidente, como se reconstrói a lista de titulares afetados. Sem esse trabalho preparatório, a contagem de vítimas continua a subir durante meses depois do ataque — como se viu neste caso.

Perguntas frequentes

Quantas pessoas foram afetadas pela fuga de dados da CareCloud?

As primeiras notificações estaduais apontavam para pelo menos 345 mil pessoas. O registo no portal de violações do OCR indicou 3.371.508 indivíduos e a contagem foi posteriormente atualizada para 3.756.469, tornando este um dos maiores incidentes com dados de saúde do ano nos EUA.

Que tipos de dados foram expostos?

A empresa confirmou nomes, endereços, datas de nascimento, números de Segurança Social, cartas de condução e outros documentos de identificação, números de conta financeira, números de cartão de crédito ou débito e informação médica e de seguro de saúde. As categorias variam por pessoa e constam da carta individual.

Quem é responsável pelo ataque?

Não foi identificado publicamente. A CareCloud confirmou que um agente de ameaça alegou ter exfiltrado bases de dados do ambiente AWS afetado, mas nenhum grupo de ransomware ou extorsão reclamou publicamente o ataque nas semanas seguintes.

Este incidente afeta utentes em Portugal?

Não existe indicação pública de titulares portugueses envolvidos, porque a CareCloud serve prestadores de saúde nos Estados Unidos. O caso é relevante em Portugal como exemplo de risco de terceiros na saúde, área agora coberta pelo Regime Jurídico da Cibersegurança e pelas obrigações de proteção de dados.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela CareCloud nas suas notificações a autoridades estaduais norte-americanas e à SEC, no portal de violações de dados do Office for Civil Rights do Departamento de Saúde dos EUA, no CNCS e em relatos de imprensa especializada.