Violação de dados do Brevard Skin and Cancer Center em 2025

O principal relato do incidente é o aviso público de segurança do Brevard. Embora a página original da empresa tenha retornado o erro 404 quando foi consultada, um PDF preservado confirma a descoberta em 14 de outubro, o acesso por volta de 28 de setembro, as categorias de dados, a notificação ao FBI e a linha de atendimento da IDX. O texto afirma expressamente que determinados dados foram exfiltrados dos sistemas.

A segunda fonte é o registro oficial do HHS/OCR, que informa um total de 54.570 pessoas. Uma carta aos consumidores de 26 de dezembro, publicada pela Procuradoria-Geral de Massachusetts, corrobora de forma independente os tipos de dados dos pacientes, as datas do incidente e os 24 meses de serviços da IDX. Os textos oficiais não confirmam o nome de um invasor nem um volume de 1,8 terabyte, por isso essas alegações de fontes secundárias foram excluídas.

Após descobrir o incidente em 14 de outubro, o Brevard contratou especialistas em cibersegurança, tomou medidas para contê-lo e iniciou ações de correção em seu ambiente eletrônico. A investigação determinou que um terceiro não autorizado havia acessado alguns sistemas de dados em 28 de setembro ou em data próxima. A empresa informou que continuava analisando o material para identificar as pessoas afetadas e os tipos de informações acessadas.

O texto público não informa exatamente quando o acesso terminou, qual foi o método de acesso inicial nem a identidade do terceiro não autorizado. No entanto, confirma a exfiltração de determinados dados, o que distingue este incidente de um caso descrito apenas como possível acesso. O aviso também informa que o incidente não interrompeu os serviços e não interferiria no atendimento aos pacientes.

Para pacientes atuais ou antigos, os dados potencialmente envolvidos são nome completo, data de nascimento, endereço residencial, número de Seguro Social, número de telefone, diagnóstico e informações clínicas, endereço de e-mail e informações de faturamento e solicitações de cobertura. A carta aos consumidores de Massachusetts lista as mesmas categorias de dados dos pacientes. Não se deve presumir que todos esses dados estivessem presentes para cada pessoa.

Para funcionários atuais ou antigos, o possível escopo inclui nome completo, data de nascimento, endereço residencial, SSN, número de telefone, uma condição de saúde registrada em um formulário FMLA e endereço de e-mail. O Brevard informou separadamente que não acreditava que as informações incluíssem números de contas financeiras, informações bancárias ou dados de cartões de crédito ou débito; esses campos excluídos não são apresentados aqui como dados expostos.

54.570 é o total oficial atual de pessoas, publicado no portal do HHS/OCR em 12 de dezembro de 2025. O número 53.255 aparece em uma página secundária sobre o incidente, publicada pela primeira vez em 10 de dezembro, dois dias antes do registro no HHS. A contagem de pessoas afetadas ou de registros publicada pela fonte oficial representa a abrangência relatada do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicassem a cada pessoa.

Os dois números não são somados e não geram registros separados de violação de dados; são medidas da abrangência do mesmo incidente em momentos diferentes. O total utilizado é o atual número oficial do HHS: 54.570 pessoas.

A combinação de nome, data de nascimento, endereço e SSN pode aumentar o risco de alguém se passar pela pessoa afetada, abrir contas fraudulentamente ou cometer fraudes tributárias ou relacionadas a benefícios. Dados de diagnóstico, informações clínicas, faturamento e solicitações de cobertura podem tornar mensagens falsas sobre cuidados de saúde mais convincentes. Os destinatários devem acompanhar seus relatórios de crédito, além dos demonstrativos de benefícios e de eventuais cobranças médicas inesperadas.

Uma mensagem que parece vir do Brevard ou de um funcionário conhecido da clínica não é automaticamente legítima, mesmo que mencione um diagnóstico real ou um detalhe de faturamento. Use o site ou o número de telefone conhecido do prestador de serviços, em vez de acessar um link na mensagem, e não compartilhe uma senha, seu SSN completo ou um código de uso único, nem faça um pagamento. Se aparecer alguma atividade de crédito que você não reconheça, pode ser adequado solicitar um alerta de fraude ou um congelamento gratuito de crédito.

O Brevard informou que conteve o incidente e protegeu seu ambiente, trabalhou com equipes de TI e cibersegurança para revisar os sistemas afetados, avaliou a integridade dos dados e implementou medidas reforçadas de segurança. O incidente foi comunicado ao FBI e aos órgãos reguladores pertinentes. A empresa também revisou políticas e procedimentos de privacidade e segurança enquanto considerava medidas adicionais de proteção da rede.

As pessoas afetadas receberam a oferta de 24 meses de monitoramento de crédito nas três agências de crédito, CyberScan, recuperação de identidade e outras formas de proteção por meio da IDX. O aviso geral indica 13 de fevereiro como prazo de inscrição, enquanto a carta individual posterior de Massachusetts indica 26 de março de 2026; por isso, os destinatários devem seguir o prazo informado em sua própria carta. A linha 1-833-779-4803 está disponível nos dias úteis, das 09:00 às 21:00, no horário do leste dos Estados Unidos.