A Paradigm Healthcare Services informou ao Departamento de Saúde e Serviços Humanos dos EUA (HHS) que uma violação de dados descoberta no ano passado afetou mais de 970 mil pessoas.
Com sede em San Francisco, a Paradigm processa a cobrança de serviços do Medi-Cal, programa de Medicaid da Califórnia, sob um acordo de uso de dados com o Departamento de Serviços de Atenção à Saúde da Califórnia (DHCS). A empresa também mantém os números de identificação dos membros do Medi-Cal em nome do departamento.
A empresa afirma que tomou conhecimento de acesso não autorizado à sua rede local em 13 de outubro de 2025. “Em 18 de agosto de 2026, determinamos que certos arquivos contendo informações de saúde protegidas de determinadas pessoas podem ter sido acessados por uma parte não autorizada entre 8 de outubro de 2025 e 15 de outubro de 2025”, afirmou a Paradigm.
Os arquivos comprometidos continham nomes, datas de nascimento, gênero e números de identificação dos membros do Medi-Cal. A Paradigm afirma que sua documentação de serviços online e sua plataforma de faturamento, a Student Health Network (SHN), não foram afetadas.
As cartas de notificação da Paradigm são datadas de 14 de setembro de 2026, cerca de 11 meses após a invasão ser detectada. “Não temos nenhuma evidência de que suas informações tenham sido usadas para cometer fraude ou roubo de identidade em decorrência deste incidente”, afirmou a empresa.
O aviso não identifica o responsável pela invasão, não explica como os invasores obtiveram acesso e não informa se os dados foram exfiltrados, ou seja, copiados ou retirados dos sistemas. A Paradigm diz que tirou determinados sistemas do ar, comunicou as autoridades policiais e contratou especialistas externos em resposta a incidentes.
Nenhum grupo conhecido de cibercrime aparece como responsável pelo ataque à Paradigm.
Vazamentos de dados da Tarter Krinsky & Drogin e da Ridgeway Pharmacy
O rastreador de violações de dados na área da saúde do HHS foi atualizado para mostrar que um número significativo de pessoas foi afetado por incidentes separados divulgados recentemente pelo escritório de advocacia Tarter Krinsky & Drogin (TKD) e pela Ridgeway Pharmacy Ltd.
A TKD, que presta serviços a prestadores de saúde, começou a notificar pessoas no início de setembro, informando que havia detectado atividade suspeita em sua rede em setembro de 2025.
A empresa concluiu a investigação um ano depois e determinou que invasores acessaram determinados servidores entre 9 de julho e 9 de setembro de 2025.
A TKD informou ao HHS que o incidente afetou mais de 196 mil pessoas.
A Ridgeway Pharmacy, que começou a enviar avisos de violação de dados em 21 de setembro, identificou acesso não autorizado a informações pessoais em 21 de agosto de 2026.
A empresa descobriu que seu site havia sido invadido e que o invasor pode ter obtido acesso a informações como nome, endereço, data de nascimento, informações de saúde e de seguro, dados sobre prescrições e dados de cartões de pagamento.
A Ridgeway Pharmacy informou ao HHS que mais de 258 mil pessoas foram afetadas.
