API sem controle expõe dados médicos de 220 mil usuários
A Healing Paper confirmou oficialmente que um acesso não autorizado a uma API de consultas expôs dados pessoais e médico-estéticos de exatamente 219.665 usuários da plataforma Gangnam Unni em seis países. O vetor é claro (API sem controle de acesso adequado), o ator permanece não identificado, e a natureza altamente sensível dos dados — procedimentos estéticos, fotos, pagamentos — eleva o risco de phishing direcionado a um patamar incomum.
Analytic judgments
Every assessment carries its confidence level explicitly, following intelligence practice (ICD 203 / FIRST). High confidence is not certainty; low confidence is not a guess — it’s the weight the available evidence supports.
O número de afetados (219.665) é confirmado pela própria Healing Paper e reportado por múltiplos veículos de apuração independente, incluindo Yonhap, JoongAng Daily e SBS — sem divergência material entre as fontes. Confiança na cifra é alta.
A falha está em controle de acesso na camada de API de consulta de registros, não em invasão de infraestrutura de banco de dados central. O fato de o mesmo ator ter retornado em 5 de setembro por rota diferente indica ausência de autenticação robusta em múltiplos endpoints, não só no primeiro bloqueado.
Nenhum grupo ou indivíduo reivindicou o ataque publicamente. A Healing Paper afirmou ter 'circunstâncias que permitem identificar o atacante' e acionou a polícia em 6 de setembro, mas nenhuma identidade foi divulgada. O ator permanece desconhecido para fins de atribuição pública.
A combinação de nome, foto de consulta, nome do procedimento e nome do médico torna este vazamento materialmente mais perigoso que um vazamento de credenciais padrão: permite phishing hiper-personalizado impersonando clínicas com detalhes que a vítima reconhecerá como legítimos.
O rebranding da plataforma para expansão global em julho de 2026 e o incidente menos de dois meses depois sugere que o crescimento internacional pode ter acelerado a exposição de endpoints de API antes que controles de acesso fossem robustecidos para a nova escala. Isso é inferência analítica, não afirmação da empresa.
A PIPC (개인정보보호위원회) não aparece em nenhuma fonte como já tendo aberto investigação formal até o momento da publicação deste relatório. A KISA recebeu notificação voluntária da empresa, mas a posição regulatória sobre sanções permanece incerta.
Analysis
A Healing Paper opera a Gangnam Unni, plataforma sul-coreana líder em informação e conexão de usuários com clínicas de medicina estética — cirurgia plástica, dermatologia e procedimentos correlatos. A plataforma tem presença em Coreia do Sul, Japão, Taiwan, Tailândia, China e mercados anglófonos, e em julho de 2026 havia anunciado expansão global formal.
O vetor confirmado pela própria empresa é acesso não autorizado a uma API usada para recuperar históricos de consulta. A Healing Paper afirma ter detectado o acesso em tempo real em 4 de setembro, bloqueado a rota inicial e constatado uma segunda tentativa do mesmo ator em 5 de setembro por rota distinta — que também foi bloqueada. O intervalo de dois dias e o uso de uma segunda rota de acesso após o bloqueio inicial indicam que o atacante tinha conhecimento prévio da arquitetura da API ou realizou reconhecimento ativo após o primeiro acesso. A empresa não descreveu publicamente a natureza técnica da falha (ausência de autenticação, token vazado, IDOR, etc.), o que é uma lacuna relevante para avaliação de risco sistêmico.
O número de afetados — exatamente 219.665 — é informado pela Healing Paper e reproduzido com consistência por toda a imprensa com apuração própria (Yonhap, JoongAng Daily, Kyunghyang, Hankyung, SBS, Etnews). A distribuição geográfica é: ~160.000 na Coreia do Sul, ~48.000 no Japão, 4.218 em Taiwan, 1.591 na Tailândia, 481 na China, 5.308 em países anglófonos e outros. Não há alegação de ator externo com volume diferente; não há portanto distância entre número alegado e número confirmado — os dois coincidem porque a única fonte do número é a própria vítima.
O que eleva a gravidade deste incidente acima de um vazamento de credenciais padrão é a tipologia dos dados expostos: além de nome, telefone, e-mail, data de nascimento, sexo e identificadores técnicos (IP, device ID, social login ID), foram expostos registros de consulta estética — nome do procedimento, nome da clínica, nome do médico, foto enviada pelo usuário para avaliação, motivação declarada para a consulta, status da consulta, datas de visita e de procedimento realizado, e detalhes de pagamento (valor, método, data). Especialistas em privacidade consultados pela imprensa coreana classificam essa combinação como "dados sensíveis" nos termos da Lei de Proteção de Dados Pessoais sul-coreana (PIPA), que exige nível reforçado de proteção para dados que permitem inferências sobre saúde ou aparência física.
A Healing Paper afirmou ter indícios suficientes para identificar o atacante e acionou formalmente a polícia em 6 de setembro. Nenhuma identidade foi divulgada publicamente. Não há reivindicação de nenhum grupo em fóruns de crime cibernético monitorados pelas fontes disponíveis. A empresa também notificou a KISA voluntariamente. A PIPC, autoridade regulatória de proteção de dados com poder de imposição de multas, não aparece em nenhuma fonte como tendo aberto investigação formal até o momento — omissão que pode mudar nas próximas horas ou dias. A lei PIPA permite sanções significativas quando dados sensíveis são processados sem as salvaguardas exigidas.
Um detalhe contextual relevante: o incidente ocorre menos de dois meses após a Gangnam Unni anunciar rebranding e estratégia de expansão internacional. O crescimento acelerado de plataformas costuma introduzir novos endpoints de API sem que os controles de acesso acompanhem o ritmo — hipótese analítica que a empresa não confirmou nem negou. A ausência de declaração técnica detalhada sobre a causa raiz impede avaliação definitiva.
Timeline
- 01 Jul 2026Gangnam Unni anuncia rebranding da marca e estratégia de expansão global da plataforma (Seoul Economic Daily).
- 04 Sep 2026Acesso não autorizado à API de consulta de registros é detectado pela Healing Paper; acesso bloqueado imediatamente após detecção (comunicado oficial da empresa, via múltiplos veículos).
- 05 Sep 2026O mesmo atacante tenta novo acesso por rota diferente; essa segunda rota é igualmente bloqueada (comunicado oficial da Healing Paper).
- 06 Sep 2026Healing Paper aciona a delegacia de polícia competente com pedido formal de investigação criminal e autoinforma o incidente à KISA (전자신문, Etnews).
- 07 Sep 2026Healing Paper publica comunicado público no site da plataforma; 219.665 usuários afetados são notificados individualmente; CEO Hong Seung-il emite pedido de desculpas formal (JoongAng Daily, Herald Business, SBS, Kyunghyang).
- 08 Sep 2026Cobertura ampliada na imprensa coreana e internacional; nenhuma manifestação regulatória da PIPC publicada até este momento (Seoul Economic Daily, DataBreaches.net).
Data involved
Impact
219.665 usuários em seis países (Coreia do Sul, Japão, Taiwan, Tailândia, China e outros) tiveram dados pessoais e médico-estéticos expostos. O risco concreto imediato é phishing direcionado: um ator de má-fé com acesso aos dados pode contactar vítimas impersonando a clínica onde realizaram procedimentos, o médico responsável ou a própria plataforma, usando detalhes verídicos (nome do procedimento, data da consulta, nome do médico) para induzir pagamentos fraudulentos ou coleta adicional de informações. A Healing Paper emitiu alerta explícito a usuários sobre esse vetor. Usuários japoneses (~48.000) representam o segundo maior grupo afetado, o que adiciona complexidade regulatória transfronteiriça sob a APPI japonesa. Para a empresa, o incidente ocorre em momento crítico de expansão global: observadores do setor apontam que a reputação da plataforma em mercados internacionais pode ser afetada de forma duradoura.
Technical links
Recommendations
- Operadores de APIs que expõem registros médicos ou de saúde devem implementar autenticação por token com escopo limitado (OAuth 2.0 com scopes granulares) e rate limiting por endpoint, com alertas automáticos para padrões de acesso anômalos — como extração em volume de registros sequenciais.
- Testes de IDOR (Insecure Direct Object Reference) e de controle de acesso horizontal devem ser parte obrigatória do ciclo de desenvolvimento para qualquer endpoint que retorne dados de usuários terceiros, não apenas dados do usuário autenticado.
- Plataformas com presença multinacional devem mapear, antes de lançamento em novo mercado, as obrigações de notificação de incidentes das jurisdições locais (APPI no Japão, PDPA em Taiwan, PDPA na Tailândia) e ter playbooks de resposta a incidentes preparados por jurisdição.
- Usuários afetados devem ser orientados a ativar autenticação de dois fatores em todas as contas vinculadas ao e-mail ou número de telefone exposto, e a monitorar comunicações que referenciem detalhes do procedimento ou clínica para detectar tentativas de phishing direcionado.
- Logs de acesso de API dos dias 4 e 5 de setembro devem ser preservados com cadeia de custódia forense antes de qualquer rotação ou arquivamento, para suportar a investigação policial e eventual processo regulatório.
Intelligence gaps
What we still don’t know. A report that doesn’t declare its holes is selling, not analyzing.
A causa raiz técnica exata da falha de API não foi divulgada (ausência de autenticação, IDOR, token vazado, misconfiguration): divulgação técnica pela Healing Paper ou análise independente da KISA resolveria esta lacuna.
A identidade do atacante permanece não pública, embora a empresa afirme ter indícios para identificação: resolução depende de conclusão da investigação policial.
Não há confirmação de que a PIPC abriu investigação formal ou de que sanções serão aplicadas: manifestação regulatória pública da PIPC resolveria esta lacuna.
Não se sabe se os dados foram exfiltrados para terceiros, revendidos ou permanecem apenas com o atacante original: análise forense pela empresa ou pela polícia, com divulgação, resolveria.
O alcance exato do acesso na segunda tentativa (5 de setembro) não foi esclarecido: a empresa disse que bloqueou, mas não confirmou se dados adicionais foram extraídos nessa segunda janela.
Não há informação sobre se usuários japoneses e taiwaneses foram notificados em conformidade com as leis locais (APPI no Japão, PDPA em Taiwan): declaração da empresa sobre notificações regulatórias transfronteiriças resolveria.
Sources and rating
Admiralty rating (NATO standard, used by CERT-EU and OpenCTI): the letter rates SOURCE reliability (A completely reliable to F not rated); the number rates INFORMATION credibility (1 confirmed to 6 cannot be judged). Both dimensions are assessed independently — a good source does not make weak information reliable.