ShinyHunters vaza 234 GB da DentaQuest após recusa de pagamento de resgate

O vazamento da DentaQuest não é um caso isolado, mas o mais recente capítulo de uma campanha coordenada do ShinyHunters contra operadoras de saúde e seguradoras nos EUA, setor que representa quase 40% de suas vítimas em 2026. Diferente de ataques genéricos, o grupo explorou especificamente instâncias mal configuradas do Salesforce e falhas na gestão de tokens OAuth, tática repetida nas violações da Charter Communications (maio), Instructure (Canvas, maio) e ADT (abril). Os 234 GB divulgados incluem arquivos ASC X12, padrão usado em transações de saúde, com dados sensíveis como números de identificação do Medicaid, o que amplia o risco de fraude em programas públicos, não só de phishing ou roubo de identidade.

A DentaQuest administra benefícios para 32 milhões de americanos, mas o vazamento atingiu apenas 2,6 milhões de registros únicos, um número relativamente pequeno frente à sua base, sugerindo que o ataque foi direcionado a um subsistema específico de inscrição ou integração com prestadores, não ao core de seus sistemas. Isso reforça o padrão observado pela CEVIU: o ShinyHunters prioriza acessos laterais via cadeia de suprimentos ou SaaS mal protegidos, não invasões massivas de infraestrutura central.

Em comparação com a campanha contra a Charter Communications (confirmada em 27 de maio e vazada em 1º de junho), o ataque à DentaQuest mostra evolução tática: enquanto a Charter teve dados expostos após negociação fracassada com foco em e-mails e perfis de clientes, a DentaQuest teve documentos governamentais e transações de saúde estruturadas vazadas, um salto qualitativo no valor dos dados para fraudadores. Também é a primeira vez que o grupo publica dados com formato ASC X12 em escala, indicando que passou de coleta de PII para exfiltração de dados regulatórios e clínicos com potencial de impacto direto em auditorias do CMS (Centers for Medicare & Medicaid Services).

Empresas de saúde no Brasil e em países da América Latina estão usando cada vez mais plataformas como Salesforce Health Cloud e soluções de análise baseadas em X12, o mesmo ecossistema alvo pelo ShinyHunters. O vazamento da DentaQuest prova que configurações padrão dessas ferramentas, sem validação de acesso por atributo (ABAC) ou rotação obrigatória de tokens OAuth, são suficientes para comprometer dados regulatórios sensíveis. Não é questão de 'se', mas de 'quando' esse modelo se replicará em operadoras brasileiras com contratos com provedores globais de SaaS. A Lei Geral de Proteção de Dados (LGPD) exige notificação em até 72 horas, mas o dano real começa antes disso: com a venda desses dados na dark web para fraudes em planos odontológicos e SUS privado.