TriZetto Notifica 3.4 Milhões Sobre Ataque de 2024 Detectado em 2025

A TriZetto Provider Solutions, unidade da Cognizant voltada para software de elegibilidade e reivindicações em saúde, confirmou que atacantes exploraram um portal web de clientes por mais de um ano, de novembro de 2024 até outubro de 2025, sem serem detectados. A falha não foi em um sistema de pagamento ou faturamento, mas em um módulo de relatórios históricos de transações de elegibilidade, usado por provedores para verificar cobertura antes de atendimentos. O acesso indevido expôs dados sensíveis como números de seguro social, identificadores do Medicare, nomes de seguradoras e vínculos familiares entre segurados e dependentes, informações que permitem montar perfis completos para ataques direcionados ou engenharia social em serviços de saúde.

O caso é crítico porque viola a HIPAA nos EUA, já que a TriZetto age como 'business associate' de clínicas e hospitais, o que a obriga a manter controles técnicos e administrativos equivalentes aos dos próprios prestadores. A demora de 13 meses entre a primeira intrusão e a notificação individual (iniciada em fevereiro de 2026) também aciona prazos legais rigorosos: sob a lei federal de notificação de violação de dados de saúde, a divulgação deve ocorrer em até 60 dias após a descoberta, o que gerou questionamentos sobre se a empresa cumpriu o cronograma exigido pelo HHS.

Esse incidente não é só sobre vazamento de dados: ele revela uma falha estrutural na segurança de sistemas de elegibilidade, que são usados centenas de vezes por dia em consultórios e centros médicos. Diferente de bases de dados estáticas, esses portais precisam ter acesso em tempo real a informações dinâmicas de múltiplas operadoras, e muitas vezes são integrados com APIs mal auditadas ou sem autenticação multifator. Para provedores brasileiros que adotam soluções similares (como plataformas de pré-autorização via TISS ou integrações com operadoras), o caso serve como alerta prático: dados de elegibilidade são tão sensíveis quanto prontuários, mas raramente recebem o mesmo nível de proteção técnica ou revisão de permissões de acesso.