Vazamento de dados na Ultrahuman expõe contatos e histórico de pedidos de clientes

A Ultrahuman confirmou que o acesso indevido ocorreu em 27 de março de 2026, não em junho, como sugerido por notificações posteriores, após credenciais de um funcionário serem roubadas de um laptop infectado. O invasor usou essas credenciais para entrar em uma ferramenta interna de análise de dados, sem precisar contornar autenticação multifator. O sistema tinha permissões excessivas: mesmo sendo usado apenas para relatórios, podia acessar dados de contato, histórico de pedidos e, para cerca de 100 usuários, métricas de bem-estar como sono e frequência cardíaca. A empresa afirma que o acesso foi somente de leitura, mas não esclareceu se os dados foram efetivamente exfiltrados ou apenas visualizados.

O incidente expõe uma falha recorrente em empresas de health tech: confiar em ferramentas internas com controles de acesso fracos, mesmo quando lidam com dados sensíveis. A Ultrahuman tem 700 mil a 1 milhão de usuários ativos mensais, mas só 0,1% foi afetado, entre 700 e 1.000 pessoas. Isso contrasta com vazamentos recentes como o da Radiology Associates (266 mil) ou do WFP (600 mil famílias), mas reforça que o risco não está na escala, e sim na superfície de ataque mal protegida: um único laptop comprometido derrubou toda a cadeia de controle de acesso interno.

A cobertura anterior de 4 de junho afirmava que dados de bem-estar haviam sido acessados, mas não detalhava o alcance nem a origem técnica. Agora sabemos que o ataque começou em 27 de março, que o vetor foi um laptop com malware (não phishing ou exploração remota), e que o acesso foi limitado a leitura, informação ausente no primeiro comunicado. Também há novos detalhes operacionais: a empresa revogou todos os acessos, implementou detecção de anomalias em exportações de dados e reforçou políticas de privilégio mínimo, algo não mencionado antes.

Empresas de saúde digital costumam priorizar segurança dos dispositivos e da nuvem, mas negligenciam endpoints e ferramentas internas. Esse caso mostra que um laptop corporativo infectado pode ser mais perigoso que uma falha no servidor. Para reguladores brasileiros, é um alerta: a LGPD exige medidas técnicas 'adequadas ao risco', e manter ferramentas internas com acesso amplo a dados pessoais, sem registro de auditoria ou limitação de volume de exportação, pode configurar falha grave na adoção de controles. Não é sobre ter MFA, mas sobre garantir que cada acesso interno tenha propósito, tempo e escopo definidos, e que qualquer tentativa de extrair dados em massa dispare alerta automático.