Violação de dados do Cary Pediatric Center em 2025

A fonte principal é o PDF “Aviso de incidente de segurança de dados”, disponível no site da própria organização. Ele descreve a descoberta em 19 de setembro, as medidas de contenção na rede, a análise forense especializada, o impacto limitado a chamadas gravadas, os prontuários médicos eletrônicos não afetados, os possíveis campos de dados envolvidos, os 12 meses de serviços de proteção e a linha de atendimento 855-522-4713.

A segunda fonte é o registro oficial do HHS/OCR, datado de 17 de novembro, que informa 25.784 pessoas. A página inicial atual da organização confirma a mesma entidade e o mesmo domínio e apresenta um link direto para o PDF oficial do incidente na seção “Aviso de incidente de dados”. Essa verificação cruzada confirma o evento, o total de pessoas e a identidade da organização por meio de dois registros de fontes primárias.

Por volta de 19 de setembro, o Cary Pediatric detectou que havia sido alvo de um incidente de segurança de rede. Quando um terceiro não autorizado tentou invadir o ambiente de rede, a organização protegeu a rede e contratou uma empresa especializada em análise forense e resposta a incidentes para determinar a abrangência de um possível acesso não autorizado. O documento público não revela o método inicial nem a identidade do responsável.

A investigação constatou que determinadas informações pessoais podem ter sido comprometidas. Ela afirma especificamente que os dados sensíveis em questão se limitavam a gravações de áudio de chamadas entre pacientes e a clínica e que os prontuários médicos eletrônicos não foram afetados. Portanto, este registro não presume que os arquivos gerais de pacientes ou toda a base de dados do EMR tenham sido expostos.

O cabeçalho do PDF informa “19 de fevereiro de 2025”, enquanto o texto sobre o incidente situa a descoberta em 19 de setembro de 2025. Como a data do cabeçalho é anterior ao evento, ela não permite estabelecer uma cronologia coerente.

A declaração da organização que indica 19 de setembro de 2025 é usada para a data do incidente e de sua descoberta, enquanto o registro do HHS/OCR de 17 de novembro de 2025 é usado para o número oficial de pessoas e a etapa de comunicação ao órgão regulador. Essa abordagem utiliza datas verificáveis sem ocultar a evidente inconsistência do documento. Nenhuma data adicional nem o ano de 2026 é introduzido sem evidências.

O aviso oficial lista nomes, datas de nascimento e informações de saúde protegidas como campos potencialmente expostos. Ele afirma que os tipos de dados variavam de pessoa para pessoa e que nem todas tiveram todos os elementos listados expostos. As PHI não são detalhadas em campos mais específicos de diagnóstico, medicação, procedimento, seguro ou pagamento, por isso este registro não faz suposições sobre esses detalhes.

O meio afetado foram as gravações de chamadas telefônicas. As informações que podem ter sido mencionadas durante uma chamada não equivalem a todas as informações armazenadas em um prontuário eletrônico de paciente. Por isso, as categorias de dados se limitam aos termos oficiais nome, data de nascimento e PHI, e este registro não classifica os prontuários médicos eletrônicos como afetados.

25.784 é o número de pessoas afetadas publicado no portal do HHS/OCR; não é o número de gravações de áudio, chamadas ou arquivos. O número de pessoas ou registros afetados publicado pela fonte oficial representa a abrangência relatada do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas.

17 de novembro, no HHS, é a data de comunicação ao órgão regulador, não o dia do incidente. A organização não publica separadamente o número de destinatários de notificações enviadas pelo correio nem o de chamadas gravadas.

O Cary Pediatric afirmou que protegeu a rede, conduziu uma investigação com especialistas em tecnologia da informação (IT), revisou e aprimorou as medidas técnicas de proteção e providenciou 12 meses gratuitos de monitoramento de crédito e proteção contra roubo de identidade para todas as pessoas potencialmente afetadas. Quando o aviso foi divulgado, a organização afirmou não ter recebido relatos de uso indevido de informações nem de roubo de identidade relacionado ao incidente.

A linha de atendimento 855-522-4713 está disponível de segunda a sexta-feira, das 08:00 às 20:00, no horário do leste. Consulte a notificação que você recebeu para saber quais informações suas podem ter sido afetadas e como se inscrever nos serviços. Não forneça data de nascimento, informações de saúde, senha, dados de pagamento ou código de uso único em uma ligação ou mensagem inesperada. Registros de saúde suspeitos devem ser verificados diretamente com a clínica. Se surgir uma mensagem suspeita ou um evento suspeito na sua conta, faça a verificação pelo canal de contato oficial atual da organização, sem usar links da mensagem.