Violação de dados da Centers Laboratory em 2025

A Centers declarou em seu próprio comunicado público que um agente não autorizado obteve acesso limitado aos dados em seus sistemas e copiou dados. Especialistas externos em perícia digital determinaram que o acesso ocorreu entre 9 e 14 de agosto. Essa descrição caracteriza o incidente como obtenção e exfiltração de dados confirmadas pela organização, e não apenas como uma possibilidade de visualização das informações.

O HHS OCR classifica o evento como Invasão/Incidente de TI, o local das informações como Servidor de rede e o tipo de entidade como Prestador de serviços de saúde. O HIPAA Journal comparou a divulgação oficial com o registro federal e corroborou a cópia de arquivos de pacientes, as categorias de dados e o total de 542.377 pessoas. As fontes não atribuem o ataque a nenhum grupo de ransomware ou outro grupo de ameaça identificado pelo nome.

A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas. A parte não autorizada permaneceu em determinados sistemas até 14 de agosto; a Centers detectou atividade suspeita em 25 de agosto, isolou os sistemas afetados e tomou medidas para impedir novos acessos. A data da descoberta não substitui a data anterior de início do incidente.

A organização então recorreu a especialistas externos em revisão de dados para determinar se os arquivos copiados continham informações sensíveis e a quem elas se referiam. Após uma validação interna abrangente dos resultados, foram enviadas cartas de notificação pelo correio. O registro do HHS apresenta 18 de junho de 2026 como data de envio, e o HIPAA Journal publicou a abrangência final do incidente em julho.

Os arquivos podiam conter o nome de uma pessoa junto com sua data de nascimento e seu número de Seguro Social. Números de carteira de motorista, de documentos de identificação emitidos pelos estados e de passaportes também estavam entre os possíveis campos de identificação divulgados. Contagens de pessoas, campos de dados e alegações de agentes de ameaça que não foram verificados não são considerados parte do escopo público do incidente.

Números de Seguro Social, de documentos de identificação oficiais e de passaportes são identificadores de longa duração. Sua combinação com nomes e datas de nascimento pode aumentar o risco de abertura fraudulenta de contas, uso da identidade de outra pessoa ou phishing direcionado. As fontes não relatam nenhum episódio conhecido de uso indevido, mas a cópia confirmada significa que o risco pode persistir no futuro.

O conjunto de dados copiado continha informações médicas e de seguro-saúde. O comunicado oficial não enumerou separadamente campos mais específicos, como diagnósticos, resultados de exames, tratamentos, números de apólices ou identificadores de beneficiários.

Dados laboratoriais e de seguros podem revelar o vínculo de um paciente com um prestador de cuidados ou um contexto sensível relacionado à saúde. Quando combinados com informações de identificação, podem facilitar o roubo de identidade para uso em serviços médicos, pedidos falsos de indenização ao seguro ou fraudes em que alguém se passa por um prestador legítimo. Isso não significa que ambas as categorias estivessem presentes nos dados de todas as vítimas.

A contagem de pessoas afetadas ou de registros publicada pela fonte oficial representa o escopo informado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. Esse é o escopo das informações de saúde protegidas que a Centers Lab NJ LLC comunicou à autoridade federal. O número não é redistribuído entre as organizações clientes, repetido para cada categoria de dados nem substituído pela forma arredondada 542K usada em uma manchete.

O incidente afetou pacientes dos prestadores de serviços de saúde que são clientes do laboratório, mas as fontes não publicam subtotais verificados por cliente. Criar incidentes separados para cada cliente ou dividir a contagem com base em suposições poderia gerar dupla contagem. Este registro da LeakData representa o único evento do laboratório, dentro do mesmo período de acesso e do mesmo relatório federal.

A Centers implementou medidas adicionais de segurança de dados; o HIPAA Journal informou que as pessoas afetadas receberam uma oferta de 12 a 24 meses de monitoramento de crédito e proteção contra roubo de identidade gratuitos, conforme a abrangência do impacto em cada caso. Se você recebeu uma notificação, siga as instruções de adesão, confira seus relatórios de crédito e a movimentação das suas contas e considere solicitar o bloqueio de consultas ao seu histórico de crédito caso um identificador sensível tenha sido afetado.

Você também deve conferir os demonstrativos do seguro-saúde e os registros médicos para identificar exames, serviços, prestadores ou pedidos de cobertura que não reconheça. Se receber solicitações inesperadas de pagamento ou de informações em nome da Centers Laboratory, verifique sua autenticidade pelo site oficial ou por um número de telefone conhecido.