Gigante de prontuários médicos Epic pausa desenvolvimento de produtos para corrigir falhas de segurança que colocam em risco os dados de pacientes

A Epic, a gigante de tecnologia de software que produz o amplamente utilizado software MyChart para acesso a dados médicos de pacientes, pausou a maior parte de seu desenvolvimento de produtos enquanto a empresa trabalha para proteger seus softwares e sistemas contra ataques cibernéticos.

Judy Faulkner, fundadora e executiva-chefe da Epic, disse ao Modern Healthcare no mês passado que a pausa provavelmente duraria seis semanas enquanto o trabalho continua na “salvaguarda” dos produtos da empresa, após a implementação do modelo de cibersegurança de ponta Mythos, da Anthropic, revelar falhas de segurança que poderiam permitir o acesso a dados de pacientes.

A empresa não divulgou a natureza dos bugs, mas seu diretor de segurança da informação, Stirling Martin, disse ao The New York Times que algumas configurações de clientes do MyChart poderiam permitir que pessoas de fora acessassem registros de pacientes sem registrar qualquer intrusão nos logs do software.

Martin, que não respondeu ao pedido de comentário do TechCrunch, disse ao Times que o modelo de IA não especificou se o bug poderia ser explorado para alterar registros de pacientes sem ser detectado, mas argumentou que era um risco grande o suficiente para justificar a correção dos problemas.

O amplamente utilizado software MyChart, da Epic, é usado para manter mais de 320 milhões de registros de pacientes em hospitais e consultórios médicos nos Estados Unidos. A Epic afirma que não tem acesso aos dados médicos dos clientes: essa responsabilidade recai sobre prestadores de serviços de saúde, como hospitais e consultórios médicos. No entanto, um bug desconhecido pela Epic poderia permitir que hackers comprometessem múltiplos sistemas afetados do MyChart localizados nos Estados Unidos e saqueassem os dados armazenados neles.

É raro que uma empresa pause o desenvolvimento para corrigir bugs de segurança, mas o surgimento de ferramentas de IA capazes de encontrar e explorar rapidamente vulnerabilidades de segurança gerou preocupações de que os atacantes possam ter mais facilidade para roubar dados.

As invasões no setor de saúde são cada vez mais comuns, à medida que hackers buscam acesso a dados de saúde e médicos altamente confidenciais, sob a premissa de que os provedores pagariam para evitar que os hackers publiquem as informações online. Um ataque de ransomware em 2024 à Change Healthcare, uma empresa de tecnologia de saúde pertencente à gigante de seguros UnitedHealth encarregada de lidar com pagamentos e faturamento para a maioria dos americanos, permitiu que hackers roubassem dados de saúde de mais de 192 milhões de pessoas, a maioria da população dos Estados Unidos. A empresa pagou aos hackers duas vezes para não publicarem os dados roubados.

Este ano, uma série de violações de dados consecutivas em empresas de saúde e tecnologia afetou dezenas de milhões de americanos. Isso inclui registros médicos roubados durante uma violação na CareCloud, gigante de armazenamento de dados de saúde eletrônicos, milhões de linhas de dados de pacientes da distribuidora farmacêutica McKesson e uma quantidade não especificada de dados roubados da empresa de tecnologia de saúde Craneware, com sede no Reino Unido, cujo software é usado em toda a América do Norte.

O Departamento de Saúde e Serviços Humanos atualmente lista uma violação na empresa de seguro odontológico DentaQuest, que afetou 15 milhões de pessoas, como a maior violação de dados relacionada à saúde de 2026 até o momento.