235.000 Afetados por Ciberataque em Maior Provedor de Ambulâncias de Wisconsin

A Bell Ambulance, maior provedor de serviços de ambulância de Wisconsin, sofreu uma violação de dados em 13 de fevereiro de 2025, com confirmação final dos impactos em 20 de fevereiro de 2026. Foram comprometidos dados de 237.830 pessoas, não 235.000 ou 238.000 como divulgado inicialmente, incluindo números de Social Security (SSN), datas de nascimento, números de carteira de motorista, informações financeiras e registros médicos e de seguro. A gangue Medusa reivindicou o ataque em março de 2025, exigiu US$ 400.000 por 219 GB a 220 GB de dados e vazou os arquivos, indicando que o resgate não foi pago. Novas notificações foram enviadas em 9 de março de 2026 após revisão completa dos logs e sistemas.

Em maio de 2026, a empresa fechou um acordo de ação coletiva de US$ 2 milhões. O pagamento em dinheiro estimado é de cerca de US$ 90 para quem não comprovou prejuízo direto; já quem documentou perdas pode receber até US$ 5.000. O prazo para requerer indenização termina em 29 de junho de 2026. A Medusa, operando como ransomware-as-a-service (RaaS) desde 2022/2023, tem mais de 300 vítimas confirmadas até fevereiro de 2025 e intensificou ataques em 2026, incluindo ao University of Mississippi Medical Center e ao condado de Passaic, NJ.

Esse caso mostra como setores críticos fora do radar tradicional de cibersegurança, como transporte médico, são alvos prioritários. A Bell Ambulance não era uma instituição de saúde propriamente dita, mas lidava com dados clínicos e financeiros sensíveis em escala, sem as mesmas camadas de proteção de hospitais. A dupla extorsão da Medusa (criptografia + vazamento) se tornou padrão, e sua capacidade de avançar do acesso inicial à exfiltração em menos de 24 horas revela falhas estruturais em detecção e resposta. O fato de o FBI, CISA e MS-ISAC terem emitido um alerta conjunto em março de 2025 reforça que esse não é um incidente isolado, mas parte de uma onda coordenada contra infraestrutura crítica nos EUA.

Para desenvolvedores e equipes de segurança, o ataque à Bell Ambulance evidencia três pontos técnicos concretos: primeiro, a exploração frequente de vulnerabilidades conhecidas em sistemas legados de gestão de frotas e CRM médicos, muitos ainda rodando em Windows Server 2012 ou sem atualizações críticas. Segundo, a ausência de segmentação de rede permitiu que os invasores migrassem de servidores administrativos para bancos de dados clínicos. Terceiro, a falta de monitoramento contínuo de exfiltração (como detecção de transferências anômalas de >200 GB em janelas curtas) deixou a intrusão ativa por dias antes da detecção. Não há evidência de uso de zero-day: os vetores apontados pela Microsoft envolvem RDP exposto e credenciais fracas.