Denver Health notifica 238 mil associados sobre vazamento em fornecedor SquareML
A Denver Health Medical Plan notificou 238.083 associados atuais e antigos depois que o fornecedor SquareML publicou por engano uma chave de acesso em um site público; a chave ficou exposta de 27 de junho de 2025 a 18 de agosto de 2026. A chave poderia dar acesso a um banco de dados com dados pessoais e de saúde dos associados; o plano afirma não ter evidências de uso indevido e redefiniu as senhas de todas as contas com acesso ao banco. Empresas com fornecedores de análise de dados devem verificar a exposição de credenciais em sites públicos.
O que aconteceu
A Denver Health Medical Plan notificou 238.083 associados atuais e antigos sobre um incidente no fornecedor SquareML, plataforma de análise com IA. Uma chave de acesso do fornecedor ficou publicada em um site público de 27 de junho de 2025 a 18 de agosto de 2026 e poderia dar acesso a um banco de dados com informações de saúde dos associados.
Por que importa
Dados expostos incluem nome completo, data de nascimento, cidade/estado/CEP, dados demográficos, elegibilidade do plano, nome do provedor, dados de admissão, alta e transferência, e métricas de saúde como IMC (BMI), HbA1c e eGFR. Números de Seguro Social e dados financeiros não estavam no banco. O plano administra benefícios do Health First Colorado (Medicaid) em Denver e três condados vizinhos.
O que fazer
Exigir que fornecedores verifiquem a exposição de chaves de acesso em sites públicos e repositórios, com alertas de credenciais vazadas. Revisar as permissões das contas de terceiros com acesso a bancos de dados sensíveis.
Para o time técnico
- Afetados
- SquareML Denver Health Medical Plan (plano de saúde de Denver, EUA); banco de dados do fornecedor SquareML, acessível por chave de acesso vazada · Banco de dados mantido pela SquareML com dados de 238.083 associados atuais e antigos da Denver Health Medical Plan.
- Exploração
- DHMP afirma não ter evidências de que a chave foi usada de forma indevida ou de que dados foram visualizados; apenas a possibilidade de acesso durante a janela de exposição.
- Correção
- Chave desativada em 18 de agosto de 2026; senhas de todas as contas com acesso ao banco foram redefinidas; DHMP e SquareML adotam ações remediadoras adicionais.
- Vetor
- Chave de acesso do fornecedor SquareML publicada por engano em um site público em 27 de junho de 2025; permaneceu ativa até ser desativada em 18 de agosto de 2026. Segundo a DHMP, a conta comprometida era somente leitura: a chave não permitia baixar, exportar, excluir ou alterar informações.
- Mais detalhes
- SquareML notificou a DHMP em 14 de agosto de 2026. Campos expostos: nome completo, cidade/estado/CEP, dados demográficos, data de nascimento, elegibilidade do plano, nome do provedor, informações de admissão/alta/transferência e métricas de saúde (BMI, HbA1c, eGFR). Números de Seguro Social e informações financeiras não estavam armazenados.
Linha do tempo
SecurityWeek detalha que uma chave de acesso da SquareML vazada poderia ser usada para acessar o banco de dados com dados pessoais e de saúde dos associados.
Incidente aberto.
Fontes 2 fontes
- Denver Health Medical Plan Discloses Vendor Breach Affecting 238K Members HIPAA Journal
- Vendor Key Leak Puts Data of 238,000 Denver Health Plan Members at Risk SecurityWeek
