Ampath confirma brecha; 80 milhões de registros são inflados
Ampath Laboratories
claimed on · assessed on
A Ampath Laboratories confirmou um incidente de segurança real com acesso não autorizado a dados pessoais e administrativos de pacientes. O número de 80 milhões alegado pelo ator ByteToBreach refere-se a entradas de banco de dados, não a indivíduos únicos — a própria Ampath diz que o total de pessoas afetadas é materialmente menor, e não há evidência até agora de que registros clínicos ou de diagnóstico foram comprometidos.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
O incidente é real: a Ampath confirmou acesso não autorizado a parte do seu ambiente de TI e notificou o Information Regulator da África do Sul conforme exige a Seção 22 da POPIA. A brecha não é bluff nem dado reciclado.
O número de 80 milhões é inflado. O próprio ator afirmou que a 'tabela de admissões' continha mais de 80 milhões de registros — entradas acumuladas ao longo de décadas desde meados dos anos 2000 até 2026, não 80 milhões de pacientes distintos. A Ampath endossa essa leitura explicitamente.
ByteToBreach é um ator financeiramente motivado, ativo desde pelo menos junho de 2025, com histórico documentado de ao menos 35 vítimas confirmadas em múltiplos continentes. O modelo operacional é: acesso, exfiltração, demanda de pagamento, publicação independente do resultado da negociação.
Os 'samples' de dados divulgados pelo ator no fórum continham malware (backdoors e trojans detectados no VirusTotal), o que levanta dúvida sobre se os arquivos disponibilizados como prova são genuínos ou armadilhas para pesquisadores e vítimas. A autenticidade do conteúdo permanece não verificada de forma independente.
A alegação de que apenas 10 dos 375 bancos de dados da Ampath foram copiados, se verdadeira, limita o escopo real da exfiltração — mas o ator tem histórico de inflar afirmações (ex: caso Mobiuz) e a investigação forense ainda está em curso.
Dados de pagamento (referência interna, valor, data e hora de transação) e de plano de saúde (nome da operadora, número de membro) estão no escopo do que a Ampath admite como possivelmente afetado, criando risco concreto de fraude e phishing direcionado contra pacientes.
Analysis
O incidente da Ampath é um caso clássico de distância entre alegação do ator e admissão da vítima — e a distância aqui é grande o suficiente para mudar o veredito de forma significativa.
O que a Ampath confirma: houve acesso não autorizado a parte do seu ambiente de TI, detectado em 2 de outubro de
2026. Os dados possivelmente afetados incluem nome, número de identidade, data de nascimento, idade, sexo, idioma, endereço, email, telefone, informações de plano de saúde (operadora, número de membro, opção) e dados de pagamento administrativos (referência interna, valor, data e hora de transação). A empresa notificou o Information Regulator conforme Seção 22 da POPIA e contratou especialistas forenses externos. O incidente está, segundo a empresa, contido.
O que a Ampath nega: que registros médicos, diagnósticos, resultados de exames patológicos ou informações bancárias (no sentido de dados de conta corrente) tenham sido comprometidos. A empresa também nega que '80 milhões de registros' equivalha a 80 milhões de indivíduos — o número refere-se a entradas acumuladas em uma tabela de admissões ao longo de décadas, não a pacientes únicos.
O que ByteToBreach alega: que copiou 10 dos 375 bancos de dados da Ampath, cobrindo RH/funcionários, múltiplos bancos de dados de pacientes, finanças, LDAP e prestadores de serviços. Afirma que houve tentativa de negociação de resgate, descrita como 'curta'. Os samples divulgados como prova foram detectados como malware no VirusTotal — o que não confirma nem nega a existência dos dados, mas contamina a cadeia de custódia e inviabiliza verificação independente do conteúdo.
Sobre o ator: ByteToBreach é um operador de vazamento de dados documentado desde junho de 2025, com pelo menos 35 vítimas confirmadas em múltiplos continentes, incluindo bancos nigerianos (Sterling Bank, Remita), a Comissão de Assuntos Corporativos da Nigéria (CAC), a Ikeja Electric, a agência romena ANCPI, e infraestrutura governamental sueca. KELA Cyber atribui o ator, com confiança moderada, a Zakaria Mahdjoub, de Oran, Argélia — baseando-se em dados de infostealer e artefatos digitais. O modelo operacional documentado é exfiltrar, demandar pagamento e publicar independentemente do resultado: um caso anterior (Mobiuz, telecom uzbeque) mostra que o ator publicou a brecha mesmo após pagamento de 35.000€. O domínio principal do ator (bytetobreach.com) já foi apreendido por FBI, DOJ CCIPS e polícia estoniana — o que não impede operações em fóruns alternativos.
Ponto de fricção crítico: o número 80 milhões. A África do Sul tem aproximadamente 63 milhões de habitantes. Um laboratório de patologia com 80 milhões de pacientes únicos seria implausível demograficamente — o que corrobora a leitura da Ampath de que o número é de entradas de banco de dados acumuladas. Isso não diminui o risco real: mesmo que os afetados sejam uma fração desse número, dados de identidade sul-africanos (número de identidade nacional é único e imutável) combinados com dados de plano de saúde e pagamentos constituem matéria-prima para fraude de identidade e phishing altamente direcionado. A investigação forense ainda está em curso e o número real de indivíduos afetados não foi divulgado.
Timeline
- 02 Oct 2026Ampath detecta o incidente e ativa protocolos de resposta. A empresa notifica o Information Regulator da África do Sul e emite comunicação aos titulares de dados potencialmente afetados. (Fonte: Ampath via MyBroadband / BizCommunity)
- 13 Oct 2026ByteToBreach publica reivindicação em fórum hacker alegando ter copiado 10 de 375 bancos de dados da Ampath, com mais de 80 milhões de registros na tabela de admissões. O ator divulga screenshots e links para supostos samples — um dos arquivos é detectado como malware no VirusTotal. (Fonte: MyBroadband)
- 13 Oct 2026MyBroadband constata que o site da Ampath ficou offline durante a tarde, exibindo template 'coming soon'. À noite, funcionalidade parcial é restaurada e a empresa publica declaração sobre o incidente. (Fonte: MyBroadband)
- 14 Oct 2026BizCommunity publica declaração mais extensa da Ampath, na qual a empresa refuta a interpretação de '80 milhões de pacientes', afirma não haver evidência de comprometimento de registros clínicos ou bancários, e diz que o incidente está contido. (Fonte: BizCommunity)
Data involved
Impact
Dados pessoais e administrativos de número indeterminado de pacientes sul-africanos foram acessados sem autorização. O escopo admitido pela Ampath inclui identificadores permanentes (número de identidade nacional, data de nascimento) e dados de plano de saúde — combinação suficiente para fraude de identidade e phishing médico direcionado. Dados de pagamento administrativos também estão no escopo, embora a Ampath distinga esses de 'informações bancárias'. A Ampath notificou o Information Regulator e os titulares potencialmente afetados, cumprindo obrigação legal sob POPIA Seção
22. O número real de indivíduos afetados não foi confirmado por nenhuma fonte oficial até a publicação deste relatório.
Technical links
Recommendations
- Pacientes que receberam notificação da Ampath devem monitorar ativamente o uso do número de identidade nacional em solicitações de crédito, registros de operadoras de plano de saúde e comunicações inesperadas — o número de identidade sul-africano é permanente e não pode ser revogado.
- Organizações de saúde sul-africanas devem auditar o acesso a tabelas de admissão e bancos de dados acumulativos de longa data: são alvos de alto valor porque concentram décadas de registros com identificadores permanentes e têm controles frequentemente calibrados para o pico de registros atual, não para o volume histórico.
- Ativar alertas de acesso anômalo em bancos de dados com mais de cinco anos de histórico acumulado, priorizando padrões de leitura em massa (full table scan) fora de janelas de manutenção — este é o sinal mais provável de exfiltração silenciosa antes de extorsão.
- Isolar e analisar em sandbox qualquer arquivo recebido de ByteToBreach ou associado à campanha antes de qualquer abertura: os samples públicos desta campanha foram detectados como malware no VirusTotal, indicando que o ator usa as 'provas' também como vetor de infecção secundária.
- Organizações que receberam comunicação direta de ByteToBreach (tentativa de extorsão) devem notificar o Information Regulator imediatamente e não negociar em isolamento — o histórico documentado do ator indica publicação dos dados independentemente de pagamento.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
Número real de indivíduos únicos afetados: a investigação forense em curso com especialistas externos deve produzir esse número; sem ele, é impossível calibrar o impacto real versus o alegado.
Autenticidade dos samples divulgados por ByteToBreach: os arquivos disponibilizados contêm malware, inviabilizando verificação independente sem ambiente isolado e análise forense dedicada.
Vetor de acesso inicial: a Ampath não divulgou como o ator entrou — se via vulnerabilidade conhecida, credencial comprometida ou outro vetor. Isso é necessário para avaliar se outras organizações do setor de saúde sul-africano estão expostas ao mesmo método.
Manifestação do Information Regulator da África do Sul sobre este caso específico: o portal do regulador não publicou declaração sobre a Ampath até a data deste relatório; sua posição pode alterar o quadro regulatório e de responsabilidade.
Confirmação ou refutação independente do conteúdo dos dados: nenhum pesquisador externo verificou publicamente os dados além dos screenshots publicados pelo ator — o que impede confirmar ou refutar as categorias alegadas (LDAP, dados de prestadores, dados de funcionários).
Status das negociações de resgate: o ator afirmou que 'negociações foram curtas', sem detalhar. Saber se a Ampath pagou, recusou ou está em curso é relevante para prever se os dados serão publicados integralmente.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.