A DaVita, uma das maiores fornecedoras de serviços de cuidados renais e diálise dos Estados Unidos, concordou em pagar US$ 15 milhões para resolver uma ação coletiva proposta decorrente de uma violação de dados que afetou cerca de 2,7 milhões de pessoas. A empresa assinou o acordo de resolução aprovado por um juiz do estado do Colorado na semana passada, mas o acordo ainda está na fase de aprovação preliminar.
O caso diz respeito a um ataque de ransomware realizado pelo grupo Interlock em abril de 2025, que teve como alvo sistemas da DaVita responsáveis por operar mais de 2.600 centros ambulatoriais de diálise nos Estados Unidos. Após descobrir o ataque, a empresa afirmou que foi forçada a voltar a procedimentos manuais e a depender de sistemas de backup enquanto respondia ao incidente.
Quais dados foram comprometidos?
As informações apresentadas na ação e no acordo de resolução indicam que a violação pode ter exposto nomes e endereços de pacientes, números de Seguro Social, informações de seguro-saúde e resultados de exames laboratoriais relacionados à diálise, além de imagens de cheques emitidos em favor da empresa.
Depois que os invasores não conseguiram obter um resgate, a Interlock publicou as informações pessoais das vítimas na dark web, de acordo com o que consta em uma das reclamações legais iniciais. Segundo o Health Information Sharing and Analysis Center, o grupo utiliza um método de dupla extorsão que combina roubo de dados, criptografia de sistemas e ameaça de divulgação das informações.
O custo supera o valor do acordo
A matéria afirma que o ataque custou à DaVita cerca de US$ 25 milhões ao longo de 2025 e também levou à abertura de pelo menos dez ações judiciais. Essas ações foram posteriormente reunidas em uma única reclamação que agora está sendo resolvida. Já os autores, segundo o acordo de resolução, sofreram diversos danos, incluindo o risco contínuo de fraude e roubo de identidade em razão da natureza dos dados vazados.
A DaVita descreveu o ataque como um incidente com o qual lidou rapidamente, e um porta-voz afirmou que a empresa reconhece a importância de proteger informações pessoais e continua fortalecendo suas defesas cibernéticas. A fonte não fornece detalhes técnicos sobre essas defesas nem sobre as mudanças operacionais implementadas pela empresa após o incidente.
Por que esta notícia é importante?
O caso revela que o impacto de um ataque de ransomware contra uma organização de saúde não se limita à interrupção dos sistemas ou ao custo direto da recuperação. O retorno a procedimentos manuais pode afetar o fluxo de trabalho, enquanto o vazamento de dados de pacientes acrescenta uma dimensão jurídica e de privacidade de longo prazo, especialmente quando envolve números de Seguro Social, resultados de exames e informações de seguro.
Além disso, a relação do ataque com um grupo conhecido por visar o setor de saúde demonstra a importância de proteger backups e da capacidade de manter os serviços quando os sistemas são isolados, sem presumir que a não realização do pagamento do resgate encerra os riscos. Ainda assim, as informações disponíveis, por si só, não comprovam a causa da violação nem o grau de eficácia das novas medidas de segurança da DaVita, e a responsabilidade jurídica final ainda não foi determinada.
O tribunal ainda não definiu a data da audiência de aprovação final, que deverá ocorrer no próximo ano, segundo a matéria. Portanto, o valor de US$ 15 milhões representa um acordo proposto, e não uma decisão final nem um pagamento garantido das reivindicações nesta fase.