Ataque à Aesto expõe dados de saúde de mais de 9,5 milhões de pessoas

A empresa de dados de saúde Aesto informou às autoridades dos Estados Unidos que mais de 9,5 milhões de pessoas tiveram informações sensíveis comprometidas em um ataque cibernético ocorrido em dezembro de 2025. A companhia já havia comunicado clientes sobre o incidente em junho, mas somente agora revelou a dimensão do vazamento ao Departamento de Saúde e Serviços Humanos dos EUA.

Entre as informações afetadas estão nomes, números do Social Security — equivalente ao principal identificador previdenciário dos Estados Unidos —, dados médicos, números de carteira de motorista, informações de contas financeiras e dados de planos de saúde.

A investigação conduzida pela Aesto identificou que os invasores tiveram acesso à infraestrutura da empresa na Amazon Web Services (AWS) entre 2 e 18 de dezembro. Durante esse período, os hackers conseguiram extrair grandes volumes de informações relacionadas a pacientes atendidos pelas organizações clientes da companhia.

Sediada em Birmingham, no Alabama, a Aesto presta serviços de migração e arquivamento de dados para instituições de saúde que estão modernizando seus sistemas ou substituindo plataformas de prontuário eletrônico. A empresa também apoia organizações de saúde envolvidas em processos de aquisição e consolidação. Pelo menos 30 instituições foram afetadas pelo incidente.

A Aesto apresentou notificações de violação de dados em diferentes estados norte-americanos em nome de seus clientes, incluindo a Together Women's Health, com operações no Texas e na Califórnia. Até o momento, nenhum grupo hacker assumiu publicamente a responsabilidade pelo ataque.

O caso ocorre em meio a uma sequência de incidentes envolvendo empresas responsáveis por armazenar e processar dados do setor de saúde. Nesta mesma semana, a Baylor Genetics informou que mais de 2,8 milhões de pessoas tiveram dados relacionados a exames médicos e resultados laboratoriais roubados em um incidente ocorrido em junho.

Em outro episódio, a CareCloud confirmou recentemente que 3,7 milhões de pessoas foram afetadas por um ataque registrado em março. A empresa informou que um invasor conseguiu acessar um de seus ambientes AWS e exfiltrar informações pessoais, financeiras, médicas e de seguros.