Quest Diagnostics confirma que registros de pacientes foram comprometidos em ciberataque à sua plataforma de laboratório

A Quest Diagnostics revelou em um relatório 8-K apresentado à Securities and Exchange Commission (SEC) que hackers obtiveram acesso não autorizado a dados de saúde e faturamento de pacientes, confirmando um ciberataque do qual tomou conhecimento pela primeira vez em 21 de outubro, segundo reportagem original da TechCrunch. A violação atingiu o Quanum, uma plataforma de laboratório que permite a consultórios médicos, hospitais e instituições de saúde solicitar exames laboratoriais e gerenciar o faturamento, e que armazena registros de saúde e médicos dos pacientes junto com dados de diagnóstico.

A Quest disse que o acesso não autorizado incluiu «certos registros de pacientes» e que informações de saúde protegidas de alguns pacientes foram retiradas, incluindo informações pessoais e registros médicos, mas a empresa afirmou que ainda está determinando exatamente quais dados foram afetados. A Quest notificou as autoridades federais e contratou especialistas externos em segurança, e diz que suas operações laboratoriais principais e outros sistemas de pedidos voltados ao cliente não foram afetados. A empresa não revelou quantos pacientes ou prestadores de serviços de saúde foram afetados, se algum grupo de hackers exigiu resgate, ou quando a invasão realmente começou.

A escala do que pode estar exposto é significativa mesmo sem uma contagem confirmada de pacientes: a Quest diz que o Quanum é usado por cerca de meio milhão de médicos em milhares de locais na América do Norte, e os próprios estudos de caso da empresa descrevem sistemas de saúde individuais com mais de 6 milhões de pacientes armazenando centenas de milhões de documentos médicos na plataforma. Um aviso de segurança que a Quest publicou em seu site foi marcado para impedir que mecanismos de busca o indexassem, e um porta-voz da empresa encaminhou os jornalistas a esse aviso em vez de responder diretamente às perguntas.

Esta é a segunda grande violação de dados divulgada pela Quest em cerca de uma década. Em 2019, um ciberataque a um fornecedor terceirizado de faturamento expôs registros pertencentes a 11,9 milhões de pacientes da Quest. A nova violação também ocorre em meio a uma onda de ataques a empresas de saúde e tecnologia médica em 2026: a fabricante de dispositivos médicos Boston Scientific teve sua rede fora do ar por semanas após um ataque em agosto, a empresa de tecnologia médica Stryker teve dispositivos de funcionários apagados em massa em março, e violações separadas este ano atingiram CareCloud, Craneware e McKesson. Os prestadores de serviços de saúde continuam sendo um dos setores mais visados por ataques de ransomware e roubo de dados, porque os registros de pacientes combinam alto valor de revenda em mercados criminosos com sistemas frequentemente difíceis de colocar offline para atualizações de segurança sem interromper o atendimento ao paciente.