Ataque ransomware Interlock expõe 2.7M pacientes da DaVita

A DaVita Inc., uma das maiores provedoras de diálise renal dos Estados Unidos, confirmou que um ataque de ransomware comprometeu as informações de saúde protegidas de aproximadamente 2,7 milhões de pacientes, tornando-se a terceira maior violação de dados de saúde relatada em 2025. O grupo de ransomware Interlock assumiu a responsabilidade pelo ciberataque de abril de 2025, no qual os agentes da ameaça exfiltraram mais de 20 terabytes de dados confidenciais antes de criptografar os sistemas de rede.

O que aconteceu no ataque de ransomware da DaVita?

De acordo com o arquivo 8-K da SEC, a empresa com sede em Denver detectou pela primeira vez atividades não autorizadas em 12 de abril de 2025, quando os invasores criptografaram certos elementos de sua rede. Uma investigação forense subsequente revelou que o comprometimento inicial ocorreu em 24 de março de 2025, dando aos agentes da ameaça quase três semanas de acesso não detectado. Esse tempo de permanência prolongado permitiu que eles exfiltrassem volumes massivos de dados, incluindo mais de 200 milhões de linhas de registros de pacientes e operacionais.

Apesar da gravidade da intrusão, a DaVita afirmou que o atendimento crítico aos pacientes continuou durante o incidente, com as instalações dependendo de sistemas de backup em papel enquanto as equipes de TI trabalhavam para conter e remediar o ataque. A empresa ativou seus protocolos de resposta a incidentes, contratou especialistas terceirizados em segurança cibernética e notificou as autoridades federais. Esse incidente destaca a tendência crescente de ataques de ransomware na saúde direcionados a organizações que possuem vastos repositórios de dados confidenciais.

O escopo da violação de dados

Em 1º de agosto de 2025, a DaVita relatou a violação ao Escritório de Direitos Civis do Departamento de Saúde e Serviços Humanos dos EUA, divulgando que 2.689.826 indivíduos foram afetados. Os dados comprometidos podem incluir:

• Nomes completos, endereços e datas de nascimento
• Números de Seguro Social
• Informações clínicas e de tratamento, incluindo resultados de exames de diálise
• Detalhes de seguro saúde e cobrança
• Em casos limitados, números de identificação fiscal e imagens de cheques

O grupo de ransomware Interlock publicou amostras dos dados roubados em seu site de vazamento na dark web, alegando ter obtido mais de 20 terabytes de informações. Capturas de tela revisadas por pesquisadores de segurança cibernética mostraram faturas de pacientes, detalhes de procedimentos médicos e documentos corporativos internos. Esta violação ressalta a importância crítica da segurança de informações de saúde protegidas em um ecossistema de saúde cada vez mais digital.

Resposta da DaVita e consequências financeiras

A DaVita começou a enviar cartas de notificação aos indivíduos afetados no início de agosto de 2025, oferecendo serviços gratuitos de monitoramento de crédito e proteção contra roubo de identidade por meio do Experian IdentityWorks por 12 a 24 meses. A empresa afirmou em documentos regulatórios que não havia encontrado evidências de uso indevido real dos dados dos pacientes, embora tais garantias sejam frequentemente preliminares nos estágios iniciais da investigação pós-violação.

Financeiramente, o ataque já se mostrou custoso. A DaVita relatou US$ 13,5 milhões em despesas relacionadas à violação durante o segundo trimestre de 2025, um valor que exclui possíveis custos de interrupção de negócios, multas regulatórias e litígios. As ações da empresa experimentaram uma volatilidade modesta após a divulgação, embora o impacto de longo prazo em sua posição de mercado entre os 2.600 centros de diálise do país permaneça incerto. Este incidente demonstra como os custos de resposta a incidentes cibernéticos podem aumentar rapidamente para organizações de saúde que carecem de estruturas robustas de preparação.

O grupo de ransomware Interlock: uma ameaça crescente

O Interlock é uma operação de ransomware como serviço (RaaS) que surgiu pela primeira vez em setembro de 2024. De acordo com a plataforma de inteligência de ameaças Ransomware.live, o grupo reivindicou mais de 119 vítimas na América do Norte e na Europa, com foco particular nos setores de saúde, educação, governo e manufatura. O grupo emprega um modelo de dupla extorsão, criptografando as redes das vítimas e ameaçando publicar os dados roubados, a menos que um resgate seja pago.

A empresa de segurança cibernética Quorum Cyber traçou o perfil das táticas do Interlock, observando o uso de ferramentas legítimas de acesso remoto, como AnyDesk e ScreenConnect, juntamente com beacons Cobalt Strike, para se mover lateralmente dentro das redes comprometidas. Em julho de 2025, a CISA e parceiros internacionais emitiram um comunicado conjunto alertando sobre as operações do Interlock, instando as entidades de infraestrutura crítica a implementarem as mitigações recomendadas.

O que isso significa para a segurança cibernética da saúde

A violação da DaVita faz parte de um padrão preocupante. De acordo com o resumo de 2025 da Comparitech, 445 ataques de ransomware tiveram como alvo hospitais, clínicas e prestadores de cuidados diretos somente em 2025, com mais 191 ataques a empresas adjacentes à saúde. Os reguladores estão respondendo: o Departamento de Saúde e Serviços Humanos propôs novas metas de desempenho de segurança cibernética para o setor, e o Congresso está considerando uma legislação para exigir padrões mínimos de segurança para entidades de saúde.

“O incidente da DaVita demonstra que mesmo grandes organizações de saúde com bons recursos permanecem vulneráveis a grupos sofisticados de ransomware”, disse um analista de segurança cibernética familiarizado com a investigação. “O tempo de permanência de três semanas antes da detecção é particularmente preocupante e destaca lacunas nas capacidades de monitoramento de rede.”

Especialistas do setor recomendam que as organizações de saúde adotem uma estratégia de defesa em profundidade, incluindo segmentação de rede, autenticação multifator, backups regulares de dados e planejamento abrangente de resposta a incidentes. O caso DaVita serve como um lembrete claro de que o custo da prevenção é invariavelmente menor do que o custo da recuperação.

Perguntas Frequentes

Quais dados foram roubados no ataque de ransomware da DaVita?

Os invasores acessaram nomes, endereços, números de Seguro Social, datas de nascimento, informações clínicas e de tratamento, detalhes de seguro saúde e, em alguns casos, IDs fiscais e imagens de cheques. O grupo Interlock afirma ter roubado mais de 20 terabytes de dados.

Quantas pessoas foram afetadas pela violação da DaVita?

A DaVita confirmou que 2.689.826 indivíduos tiveram suas informações de saúde protegidas comprometidas, tornando-se a terceira maior violação de saúde de 2025.

Quem é o grupo de ransomware Interlock?

O Interlock é uma operação de ransomware como serviço ativa desde setembro de 2024, visando principalmente os setores de saúde, educação, governo e manufatura na América do Norte. O grupo usa táticas de dupla extorsão, criptografando dados e ameaçando vazá-los.

O que a DaVita está fazendo para proteger os pacientes afetados?

A DaVita está oferecendo 12 a 24 meses de monitoramento de crédito gratuito por meio do Experian IdentityWorks e implementou controles de segurança aprimorados para evitar incidentes futuros.

Quanto custou a violação da DaVita?

A DaVita relatou US$ 13,5 milhões em despesas relacionadas à violação no segundo trimestre de 2025, excluindo interrupção de negócios, multas regulatórias e possíveis custos de litígio.