Vendor de archiving expõe pacientes de hospital rural no WA

O incidente é de responsabilidade primária da Aesto Health, uma empresa sediada em Birmingham, Alabama, que provê serviços de migração e arquivamento de dados clínicos para entidades cobertas sob HIPAA. O Quincy Valley Medical Center — hospital de acesso crítico localizado em Quincy, WA, servindo uma comunidade rural no Grant County — é um dos múltiplos clientes cujos dados de pacientes estavam armazenados na infraestrutura da Aesto quando o breach ocorreu. O QVMC não foi atacado diretamente: foi vítima downstream de uma falha em seu fornecedor.

A Aesto afirma ter detectado a atividade não autorizada em 18 de dezembro de 2025 e contido o incidente imediatamente. Porém, a empresa só concluiu a revisão forense em 26 de maio de 2026 — mais de cinco meses depois. A HIPAA Breach Notification Rule (45 CFR § 164.408) exige notificação às entidades cobertas sem demora irrazoável e, no máximo, em 60 dias após a descoberta do breach. A Aesto notificou seus clientes em 26 de junho de 2026, ou seja, 31 dias após a conclusão da investigação — dentro do prazo de 60 dias contado a partir de 26 de maio. Contudo, se o prazo for contado a partir da detecção inicial (18 de dezembro de 2025), a notificação ocorreu com aproximadamente 190 dias de atraso. A empresa não esclareceu publicamente qual marco temporal adota para fins de conformidade.

Os dados potencialmente expostos incluem uma combinação particularmente sensível: nomes, datas de nascimento, SSNs, números de carteira de motorista, IDs governamentais, TINs, históricos médicos, informações de planos de saúde e dados financeiros. A Aesto reconhece que nem todas as categorias afetaram todos os indivíduos e que SSNs estiveram envolvidos apenas para um número limitado de pessoas — mas não publicou números absolutos por categoria.

Nenhum ator de ameaça reivindicou o ataque. A Aesto não divulgou o vetor de acesso (phishing, credencial comprometida, vulnerabilidade em API AWS, misconfiguration), o que impede qualquer análise técnica de TTPs. A empresa tampouco confirmou se houve exfiltração ativa ou apenas acesso — distinção relevante para avaliar risco real. A expressão 'may have been accessed and/or acquired' é o padrão jurídico mínimo de divulgação e não equivale a confirmação de exfiltração.

O número total de afetados em âmbito nacional não foi divulgado. Os números estaduais disponíveis — 37.253 em Washington e 91 em Vermont — são parciais. A Aesto atendia múltiplas entidades cobertas em vários estados; o número real consolidado pode ser significativamente maior. O HHS OCR não havia publicado o caso em seu breach portal até a data deste relatório, possivelmente devido ao backlog administrativo decorrente do shutdown federal de 43 dias em 2025.

Para o QVMC especificamente, o website institucional (quincyhospital.org) não exibia aviso próprio de breach ao momento da apuração. A notificação aos pacientes foi conduzida pela Aesto — modelo contratualmente válido, mas que reduz a visibilidade local e coloca o hospital em posição passiva diante de sua própria comunidade. Hospitais de acesso crítico como o QVMC têm recursos limitados de segurança da informação e dependem criticamente de fornecedores terceiros para gestão de dados, o que amplifica o risco de cadeia de suprimentos.

Pacientes do Quincy Valley Medical Center (Quincy, WA) que tiveram dados históricos arquivados pela Aesto estão sujeitos a risco de roubo de identidade, fraude de identidade médica e fraude de seguros, dado o caráter combinado dos dados expostos (SSN + PHI + dados financeiros). O número de pacientes do QVMC especificamente afetados não foi divulgado — o QVMC está incluído nos 37.253 residentes do estado de Washington reportados ao AG daquele estado, mas a proporção atribuível ao hospital não é pública. Em âmbito mais amplo, múltiplas outras entidades de saúde nos EUA foram afetadas pelo mesmo incidente na Aesto, incluindo Monroe Health Center (WV), Nebraska Orthopaedic Center (NE), Everside Health e outros clientes listados pela empresa. O número total nacional permanece desconhecido.