Veradigm vaza dados de pacientes via API de terceiro — de novo

A Veradigm confirmou via 8-K à SEC o que o The Gentlemen antecipou em seu data leak site três dias antes: credenciais roubadas do ambiente de um vendor foram usadas para acessar uma API de serviço ao cliente e copiar dados pessoais de pacientes, incluindo SSNs em alguns casos. O filing é tecnicamente preciso — a empresa delimita o acesso como restrito àquela interface, sem comprometimento da rede interna, servidores ou bancos de dados mais amplos. Essa delimitação é o principal ponto de fricção com a alegação de 3,5 milhões de registros do grupo criminoso.

O número de 3,5 milhões deve ser tratado com ceticismo explícito. A Veradigm qualifica o impacto como afetando 'um número reduzido de clientes' — linguagem que, em contextos anteriores de incidentes semelhantes no setor, costuma sinalizar dezenas de milhares a centenas de milhares de pacientes, não milhões. Uma API de serviço ao cliente, por definição, não deveria expor a base de dados integral de uma empresa que atende mais de 20.000 práticas médicas. O veredito 'inflated' reflete essa avaliação — o incidente é real, mas o volume alegado provavelmente não é.

O padrão operacional se repete de forma preocupante. Em dezembro de 2024, credenciais roubadas de um cliente da Veradigm permitiram acesso a uma conta de storage. Em setembro de 2026, credenciais roubadas de um vendor permitiram acesso a uma API. Em ambos os casos, o vetor é o mesmo: controle de acesso inadequado em interfaces expostas a terceiros. O settlement de US$ 10,5 milhões do primeiro incidente foi aprovado definitivamente em março de 2026, com pagamentos iniciados em junho — e o segundo incidente ocorre antes de qualquer mudança estrutural documentada publicamente.

A atribuição ao The Gentlemen é plausível pelo timing e pela mecânica de dupla extorsão, mas não foi confirmada pela Veradigm. Isso importa analiticamente: se o grupo obteve as credenciais do vendor por infostealers ou por comprometimento direto do vendor, as implicações de defesa são diferentes. O grupo opera como RaaS com afiliados que usam técnicas variadas — acesso inicial via credenciais compradas de brokers, exploração de VPNs e firewalls, e ferramentas avançadas como GentleKiller para desativar EDRs. No caso Veradigm, o acesso via API de vendor não exige as ferramentas pesadas do grupo: credenciais válidas bastam.

O prazo de 11 de setembro de 2026 imposto pelo The Gentlemen é uma variável ativa. Se os dados forem publicados, a análise de amostras por pesquisadores independentes poderá finalmente estabelecer o volume real — ou confirmar o bluff parcial. Até lá, o número de 3,5 milhões é alegação do ator (fonte F, informação 4), não fato. O que é fato é que dados pessoais de pacientes foram exfiltrados de uma empresa que acabou de liquidar um processo coletivo por um incidente estruturalmente idêntico.

Pacientes de clientes da Veradigm cujos dados foram processados pelo vendor comprometido tiveram dados pessoais — incluindo nomes, endereços e SSNs — copiados por atores não autorizados. A Veradigm está notificando os afetados e oferecendo monitoramento de crédito. O número total de indivíduos afetados não foi divulgado. Não há dados clínicos ou médicos envolvidos, segundo a própria empresa, o que reduz o risco de comprometimento de registros de saúde. O risco imediato é de uso dos SSNs para fraude de identidade — uma exposição sem remédio simples, pois SSNs não podem ser alterados. A empresa declarou não antecipar impacto material em operações ou resultados financeiros, mas litígios adicionais são prováveis dado o precedente de 2024.