Violação de dados do Beverly Hills Oncology Medical Group em 2025

A fonte principal é o PDF “Notificação de violação de dados”, publicado no domínio de arquivos da própria organização. Ele descreve o período de acesso de 7 a 11 de fevereiro, a investigação com profissionais externos, a conclusão sobre o alcance em 13 de outubro, os possíveis campos de dados envolvidos, o início do envio de notificações por escrito por volta de 31 de outubro, o monitoramento de crédito gratuito e a linha de atendimento 855-291-2692.

A segunda fonte é o registro oficial do HHS/OCR, datado de 31 de outubro, referente a 57.655 pessoas. A página do incidente no fonte pública sobre vazamentos de dados permite uma verificação independente ao relacionar o mesmo PDF, o total federal e as divulgações da Califórnia e de outros estados.

A organização informou que descobriu um acesso não autorizado à sua rede ocorrido aproximadamente entre 7 e 11 de fevereiro. Em seguida, investigou o caso com profissionais externos de segurança cibernética que analisam regularmente situações desse tipo, para determinar em que medida as informações na rede poderiam ter sido comprometidas. A notificação pública não identifica o autor, a vulnerabilidade nem o método usado para o acesso inicial.

A investigação abrangente e a análise de documentos foram concluídas em 13 de outubro. Elas constataram que uma quantidade limitada de informações pessoais pode ter sido retirada da rede em conexão com o evento. O envio de notificações por escrito começou por volta de 31 de outubro para pessoas potencialmente afetadas cujo último endereço residencial conhecido estava disponível. Essas datas correspondem às etapas de acesso, determinação do alcance e notificação aos consumidores.

A notificação oficial informa que um nome completo pode ter aparecido junto com um ou mais dos seguintes dados: número de Seguro Social, número da carteira de motorista ou de outro documento de identificação emitido pelo governo, informações de contas financeiras, informações de cartões de crédito ou débito e informações da apólice de seguro de saúde.

Informações sobre tratamentos, diagnósticos, prescrições e outros dados clínicos também estão incluídas no possível alcance. Os tipos de dados variam de pessoa para pessoa; não se deve presumir que todos os campos estavam presentes para cada indivíduo nem que todos os documentos foram retirados. Números de pessoas, campos de dados e alegações de agentes de ameaça sem verificação não são considerados parte do alcance do incidente divulgado publicamente.

57.655 é o número de pessoas afetadas publicado para este evento no portal HHS/OCR; não é uma contagem de documentos, arquivos ou linhas de dados vazados. O número de pessoas afetadas ou de registros publicado pela fonte oficial representa o alcance informado do incidente. Isso não significa que todas as categorias de dados mencionadas se aplicavam a todas as pessoas.

Os números de residentes locais nos registros das procuradorias-gerais dos estados são subconjuntos do total nacional de 57.655 e não são somados a ele, pois isso contaria as mesmas pessoas duas vezes. A data de 31 de outubro, referente ao relatório ao HHS e à notificação, é distinta do período de acesso em fevereiro. Essa distinção preserva tanto a cronologia real quanto a métrica representada por cada número.

Um nome combinado com um SSN ou um número de identificação emitido pelo governo pode aumentar o risco de alguém se passar por outra pessoa e criar contas fraudulentas. Informações de contas financeiras e cartões podem facilitar fraudes de pagamento, enquanto dados de tratamento, diagnóstico, prescrição e seguro podem viabilizar roubo de identidade médica e phishing personalizado. A organização informou que, à época da notificação, não tinha conhecimento de relatos de fraude de identidade ou de uso indevido decorrentes diretamente do incidente.

Quem recebeu a notificação deve revisar os demonstrativos de benefícios do seguro de saúde, além dos relatórios de crédito e das movimentações financeiras. Qualquer tratamento, prescrição, solicitação de cobertura ou pagamento não reconhecido deve ser verificado diretamente com o prestador responsável. Não forneça seu SSN completo, número de identificação ou de cartão, senha ou código de uso único em resposta a comunicações inesperadas que aleguem ser da organização.

O Beverly Hills Oncology Medical Group informou que investigou o caso com profissionais externos, avalia continuamente seus controles de segurança e privacidade e ofereceu monitoramento de crédito gratuito às pessoas afetadas. As notificações por escrito incluíram orientações sobre revisão de relatórios de crédito, alertas de fraude, congelamento de crédito, proteção de contas financeiras e medidas contra o roubo de identidade médica.

A linha de atendimento confidencial e gratuita 855-291-2692 está disponível de segunda a sexta-feira, das 09:00 às 21:00, no horário do Leste dos Estados Unidos. Se você recebeu a notificação, use sua própria carta como referência para saber quais dos seus dados estão envolvidos e quais são as instruções de inscrição, comunique prontamente qualquer atividade financeira ou médica suspeita à instituição responsável e considere um congelamento gratuito de crédito, quando apropriado.