O setor de dispositivos e tecnologias médicas enfrentou, ao longo de 2026, uma onda crescente de ataques cibernéticos, depois que várias empresas anunciaram invasões que afetaram sistemas de tecnologia da informação e operações ou expuseram dados de funcionários e pacientes a acesso não autorizado. A lista de empresas inclui Stryker, Intuitive Surgical, Medtronic, Abbott, iRhythm, AdaptHealth, Cook Medical, Baylor Genetics e UFP Technologies.
A Stryker se destaca como um dos casos com maior impacto sobre as operações. O ataque teve como alvo o ambiente global da Microsoft pertencente à empresa em 11 de março, interrompendo os sistemas de processamento de pedidos, fabricação e envio durante semanas. A empresa começou a restaurar os sistemas em 17 de março, recuperou a maior parte das operações de fabricação em 27 de março e anunciou em 10 de abril que havia voltado à operação plena, alertando para um impacto financeiro significativo nos resultados do primeiro trimestre. Em maio, o CEO Kevin Lobo afirmou que o ataque deixou um impacto significativo nos resultados do trimestre, enquanto a empresa manteve suas projeções para o ano inteiro. Até 31 de julho, a Stryker ainda processava o acúmulo de pedidos e lidava com uma interrupção no fornecimento relacionada à Inari Medical, enquanto informou, em julho, que continuava sua recuperação.
Vazamento de dados e invasões por meio de terceiros
Dias após o incidente da Stryker, a Intuitive Surgical anunciou que havia sofrido um incidente de phishing que permitiu a uma parte não autorizada acessar informações comerciais e comunicações relacionadas aos clientes, além de dados de funcionários e da empresa. A Medtronic também informou, em 27 de abril, uma violação de dados dos sistemas corporativos de tecnologia da informação e começou, em 2 de julho, a notificar as pessoas afetadas, afirmando que não tinha evidências de que os dados acessados haviam sido publicados na internet e que não esperava um impacto significativo em seus negócios ou resultados financeiros.
A Abbott anunciou, em 17 de julho, que sua unidade de diagnóstico de câncer havia sofrido um ataque cibernético, após seu acordo de US$ 21 bilhões para adquirir a Exact Sciences, mas não especificou que tipo de informação havia sido acessada. Já a AdaptHealth informou, em 7 de julho, que dados de pacientes foram roubados depois que um invasor acessou seus sistemas por meio de um ataque de engenharia social. Em 16 de junho, a iRhythm revelou o roubo de dados de aplicações pertencentes a um terceiro e afirmou que o invasor exigiu um pagamento para não publicar os dados roubados.
Divulgações mais recentes
A Baylor Genetics e a Cook Medical foram as duas empresas mais recentes a revelar incidentes durante agosto. A Baylor Genetics afirmou que uma parte externa possivelmente acessou informações de funcionários e pacientes, incluindo resultados de exames, números de Seguro Social e detalhes de contas financeiras. No caso da Cook Medical, o incidente resultou de uma fraude que permitiu a uma entidade externa acessar alguns sistemas da empresa, mas a empresa afirmou não ter encontrado evidências de obtenção de dados sensíveis ou protegidos e disse que suas operações funcionavam normalmente.
A UFP Technologies também investigou um ataque que afetou os dados da empresa em fevereiro, alertando para atrasos de curto prazo nos envios, sem prever um impacto significativo. Esses casos mostram que o impacto não se limita à confidencialidade dos dados; no caso da Stryker, ele se estendeu à fabricação, aos pedidos e aos envios, enquanto outras empresas continuaram diante da tarefa de notificar os afetados e avaliar quais dados podem ter sido expostos.
Por que essa sequência é importante?
Essa série de incidentes não constitui evidência de que todos os casos seguiram o mesmo método, pois envolveu phishing, engenharia social, invasões de sistemas corporativos e possível acesso por meio de terceiros. No entanto, ela demonstra a ampliação do alcance dos riscos em um setor cujas empresas dependem de sistemas interconectados para gerenciar a fabricação, a distribuição e os dados médicos. As consequências de alguns incidentes ainda estão sendo avaliadas, fazendo com que o volume de informações afetadas e o impacto operacional e financeiro variem de uma empresa para outra.