Medtronic alerta para possível roubo de dados de pacientes de marcapassos

A Medtronic confirmou que dados dos patients, termo técnico usado internamente para designar o conjunto de informações pessoais e de saúde coletadas diretamente de usuários de marcapassos, bombas de insulina e outros dispositivos conectados, foram expostos entre 13 e 19 de abril de 2026. Esses dados incluem nomes, datas de nascimento, números de seguro social (SSN), informações de contato e registros clínicos associados à utilização dos produtos. O sistema comprometido fazia parte da infraestrutura corporativa, não do firmware ou da rede de comunicação dos dispositivos médicos propriamente ditos, uma separação crítica que a empresa reforçou desde o primeiro comunicado, em 29 de abril fonte.

O ataque foi atribuído ao grupo ShinyHunters, que listou a Medtronic em seu site de vazamentos no dia 15 de abril, alegando ter roubado mais de 9 milhões de registros. Embora a listagem tenha sido removida sem publicação dos dados, a confirmação tardia da exposição, só agora, em 3 de julho, revela falhas operacionais na detecção de exfiltração e na notificação regulatória obrigatória sob HIPAA e LGPD aplicável a dados de brasileiros exportados.

Em 29 de abril, a Medtronic confirmou o ataque e a ameaça de vazamento, mas não detalhou quais dados haviam sido acessados nem se houve exfiltração real. Agora, em 3 de julho, a empresa reconhece formalmente que informações sensíveis dos patients foram expostas, incluindo SSN e dados clínicos, e passa a oferecer monitoramento de crédito por dois anos. Também é nova a confirmação explícita de que os atacantes permaneceram seis dias dentro da rede corporativa, algo não mencionado na primeira divulgação.

Dados dos patients são um alvo prioritário para cibercriminosos: combinam identificadores únicos (como SSN) com informações clínicas que permitem fraudes sofisticadas em seguros, consultas e até prescrições falsas. Esse caso não é isolado, em menos de três meses, iRhythm, Novo Nordisk e ApolloMD sofreram ataques similares com foco em dados de saúde. A diferença aqui é o volume potencial (9 milhões de registros) e o fato de a Medtronic ser fornecedora direta de dispositivos implantáveis, o que amplifica o risco reputacional e regulatório para hospitais e operadoras que dependem de seus sistemas de suporte.