Mais de um bilhão de registros de saúde foram violados desde 2009, sendo os parceiros de negócios agora o ponto de exposição dominante
Desde que o Escritório de Direitos Civis (OCR) do Departamento de Saúde e Serviços Humanos (HHS) dos EUA começou a publicar resumos de violações de dados de saúde em 2009, os números mudaram em uma direção. O recorde anual de grandes violações que afetaram 500 ou mais indivíduos foi estabelecido em 2025, quando foram relatados 772 incidentes desse tipo, de acordo com Estatísticas de violação de dados de saúde: atualizadas para 2026, publicado pelo HIPAA Journal, com base em dados do portal OCR até agosto de 2026. No total, mais de um bilhão de registros foram comprometidos nesse período de 16 anos, aproximadamente 2,9 vezes a população atual dos EUA.
A escala desse número reflete uma mudança estrutural na forma como as violações acontecem e em quem arca com as consequências da conformidade quando elas acontecem.
Onde as violações se originam
A causa dominante não é mais um laptop perdido ou um fax arquivado incorretamente. Hackers e outros incidentes de TI foram responsáveis por mais de 80% das grandes violações de saúde relatadas em 2025, com base na análise do HIPAA Journal de dados do portal OCR. O hacking confirmado separadamente pelo OCR foi responsável por 49% de todas as violações relatadas em 2019. Somente entre 2018 e 2023, os ataques de ransomware contra entidades de saúde aumentaram 278%, informou o OCR.
Mais significativo para os planos patrocinados pelos empregadores é onde esses ataques estão ocorrendo no ecossistema de saúde. Os parceiros de negócios – os fornecedores terceirizados que processam reclamações, gerenciam benefícios farmacêuticos, administram contas de poupança de saúde e executam operações de ciclo de receita para entidades cobertas – têm crescido constantemente como parte de grandes relatórios de violação. No primeiro semestre de 2026, parceiros de negócios estiveram envolvidos em 43% de todas as grandes violações de saúde relatadas aos reguladores federaisacima da média de 20% entre 2009 e 2017, de acordo com a análise de dados de OCR do HIPAA Journal.
A escala dos incidentes com parceiros de negócios ajuda a explicar por que as contagens de violações individuais e o total de registros expostos mudaram em taxas diferentes. Entre 2022 e 2023, os relatórios de grandes violações aumentaram cerca de 4%, mas os indivíduos afetados aumentaram mais de 193%, de acordo com dados de OCR, um salto impulsionado em grande parte por um conjunto de mega-violações que afetam dezenas de milhões de registos cada. Um único parceiro comercial lida com dados de dezenas ou centenas de entidades cobertas simultaneamente, de modo que um ataque bem-sucedido pode se espalhar por toda uma rede de planos e provedores.
A maior violação na história da saúde dos EUA ilustra este ponto. O ataque de ransomware de 2024 à Change Healthcare, uma subsidiária do UnitedHealth Group, expôs os registos de cerca de 192,7 milhões de indivíduos. Esse número superou o recorde anterior de 78,8 milhões estabelecido pela violação do Anthem em 2015. A Change Healthcare processou o faturamento e sinistros de seguro para hospitais, farmácias e consultórios médicos em todo o país, e é exatamente por isso que uma única intrusão atingiu essa escala.
A exposição à conformidade do patrocinador do plano
O padrão tem uma consequência direta para os planos patrocinados pelos empregadores que nem sempre é bem compreendida. De acordo com a HIPAA, um plano de empregador autofinanciado é uma entidade coberta, o que significa que o patrocinador do plano assume obrigações de notificação de violação, independentemente de onde o incidente se originou na cadeia do fornecedor. Quando um administrador terceirizado ou plataforma de benefícios é comprometido, a obrigação de notificação não é transferida automaticamente para o fornecedor. Depende do plano.
OCR aplicou esse princípio este ano contra uma empresa que a maioria das pessoas não associaria à conformidade com cuidados de saúde. O plano de saúde em grupo patrocinado pelo empregador da Spencer Gifts LLC concordou com um acordo de US$ 450.000 em junho de 2026 para resolver violações da HIPAA identificadas durante a investigação do OCR de um ataque de ransomware ao seu plano de saúde em grupo patrocinado pelo empregador. OCR descobriu que o plano não conseguiu realizar uma análise de risco compatível e não implementou políticas e procedimentos da HIPAA antes da violação.
O ataque ocorreu em novembro de 2021. O plano relatou isso ao OCR em janeiro de 2022. A Spencer Gifts é um varejista de novidades, não uma empresa de saúde, mas seu plano autossegurado mantinha informações de saúde protegidas, e o OCR buscou a fiscalização de acordo.
Em junho de 2026, o acordo foi a 20ª ação de aplicação de ransomware do OCR e a 14ª no âmbito de sua Iniciativa de Análise de Risco, um esforço direcionado que concentra as investigações sobre se as entidades cobertas conduziram as avaliações de segurança básicas exigidas pela HIPAA.
O atraso nos relatórios complica os dados de 2026
Os números de violações de 2026 trazem uma advertência importante. De janeiro a abril de 2026, grandes relatórios de violação de dados de saúde foram executados aproximadamente 9,5% abaixo do mesmo período de 2025, de acordo com dados do portal OCR. Esse aparente declínio, no entanto, reflete um atraso criado pela paralisação governamental de 43 dias do HHS no final de 2025, durante a qual as adições de violações ao portal OCR foram efetivamente interrompidas. Em meados de 2026, as violações do início do ano ainda eram adicionadas ao portal meses após o fato.
O HIPAA Journal sinalizou esse atraso em sua atualização de outubro de 2026, observando que a comparação atual ano a ano não é um indicador confiável de se o ambiente de violação subjacente melhorou. Esse contexto é relevante para qualquer patrocinador ou consultor de plano que analise as estatísticas de violação de 2026 e tire conclusões sobre a trajetória de risco.
Os dados cumulativos criam uma imagem clara de onde a exposição se concentra. O Violação ilimitada de sistemas de tecnologiano qual uma empresa de software do ciclo de receitas expôs os dados sobre benefícios e seguros de quase 3,8 milhões de pessoas, ilustrou o mecanismo com precisão. A violação não ocorreu em um hospital ou plano de saúde, mas a responsabilidade fluiu para todas as entidades cobertas na lista de clientes do fornecedor. Os campos roubados incluíam números de apólices de seguro, dados de sinistros e benefícios, números de Seguro Social e números de registros médicos.
