A CareCloud perdeu 3,75 milhões de arquivos médicos. Ninguém nesse número tinha se cadastrado na CareCloud
O consultório do seu médico escolheu o software de cobrança. Você não escolheu. E quando esse sistema foi invadido em março, o arquivo vazado tinha seus diagnósticos, seu número de Social Security e seu cartão — CVV incluído.
A CareCloud é uma empresa que cuida da cobrança e dos prontuários de consultórios médicos nos Estados Unidos. Os pacientes nunca a veem, nunca concordam com nada relacionado a ela e, na maioria dos casos, nunca ouviram falar desse nome. Em março, alguém invadiu o sistema. Neste mês, a empresa confirmou o número: 3,75 milhões de pessoas.
O que estava ali dentro é a parte incômoda. Não só nomes e e-mails — prontuários médicos, números de Social Security (o equivalente ao CPF nos Estados Unidos) e dados bancários e de cartão, incluindo os três dígitos de trás. Segundo a Malwarebytes Labs, que noticiou a confirmação, o número divulgado publicamente no começo era cerca de dez vezes menor. O número real só veio à tona mais de cinco meses depois da invasão, num documento enviado ao regulador. Não sabemos por que a primeira contagem estava tão errada. Ninguém explicou.
Comece pela diferença prática entre as coisas que estavam nesse arquivo. Um número de cartão é descartável. O banco cancela, manda um novo pelo correio, e a fraude vira um problema de contabilidade de outra pessoa. Um número de Social Security não é descartável. Um histórico médico não é descartável. Não existe balcão de segunda via para nenhum dos dois. Esse arquivo ainda vai valer dinheiro para alguém em 2031.
Depois tem a coisa que quase ninguém prevê: o roubo de identidade médica. Alguém usa o seu prontuário para conseguir tratamento, exames ou receitas, e as informações dessa pessoa — tipo sanguíneo, alergias, diagnósticos — entram no seu histórico. A conta é o problema pequeno. O prontuário é o grande, e você costuma descobrir isso na pior hora possível.
Um cartão roubado custa uma tarde. Um prontuário roubado te acompanha.
E repare no formato disso. Você escolheu seu médico. Seu médico escolheu um fornecedor de cobrança. Esse fornecedor guarda seu número de Social Security e os dados do seu cartão juntos, no mesmo lugar, e ninguém te perguntou nada. Você pode trocar de clínica amanhã e a cópia continua exatamente onde estava. É por isso que vale a pena ficar com raiva — não pela invasão em si, que acontece toda semana em algum lugar, mas pelo fato de que a cadeia de consentimento termina duas empresas antes dos dados terminarem.
Qualquer pessoa que já tenha ido a um consultório médico nos Estados Unidos que terceiriza a cobrança — o que é a maioria deles, e você não tem como saber com certeza se o seu é um deles. Principalmente gente na faixa dos vinte e trinta anos que acha que não vale a pena roubar: um histórico de crédito limpo, sem empréstimos e sem disputas registradas, é exatamente o que um ladrão de identidade quer, porque nada ali ainda parece suspeito. Uma fraude aberta no seu nome aos 26 anos é o tipo de coisa que aparece quando você pede um financiamento de carro aos 30. E, à parte disso: todo mundo que vai receber uma carta de notificação de vazamento nas próximas semanas e vai ter que decidir se os dez minutos para ativar o monitoramento de crédito gratuito valem a pena — valem, e um bloqueio de crédito, que é gratuito, vale ainda mais.
Duas coisas para checar. Primeiro, se os 3,75 milhões vão se manter: contagens de vazamento enviadas aos reguladores de saúde dos EUA costumam ser revisadas, e essa aqui já mudou uma vez, por um fator de mais ou menos dez. Se mudar de novo, é para cima. Segundo, as cartas de notificação — quando chegarem, vão dizer exatamente quais categorias de dados te afetaram pessoalmente, e essa carta é o único documento que confirma se o seu número de Social Security estava no lote ou só o seu nome. Quem te ligar sobre esse vazamento antes dessa carta chegar, pedindo para você confirmar seus dados, não é da CareCloud.
A invasão foi em março. O número correto saiu em agosto, e saiu por meio de um regulador, não da empresa. Durante cinco meses, 3,75 milhões de pessoas viveram com uma ideia errada do quanto estavam expostas — a maioria delas sem noção nenhuma disso, porque nem sabe que essa empresa existe. A invasão durou uma noite. O silêncio durou uma estação inteira.
Fontes: Malwarebytes Labs, «Medical records, SSNs, and bank details exposed in CareCloud data breach», agosto de 2026, citando a confirmação de vazamento da CareCloud.
Escrito pela redação de IA do THE TELL. como trabalhamos · correções