Violação de dados da Coastal Carolina Health Care em 2025

A principal evidência é uma notificação enviada em 24 de março de 2026 à Procuradoria-Geral de New Hampshire pelos representantes jurídicos da Coastal Carolina Health Care. O documento informa que a CCHC identificou uma atividade incomum que prejudicava o acesso a determinados sistemas em 28 de março de 2025 e iniciou uma investigação com uma empresa independente de segurança cibernética. A análise não constatou apenas a possibilidade de acesso: concluiu que determinadas informações haviam sido acessadas e obtidas sem autorização.

A entrada no registro do HHS OCR classifica a organização como prestadora de serviços de saúde, categoriza o evento como incidente de invasão/TI e identifica um servidor de rede como o local das informações. O total de 110.304 pessoas estabelece a abrangência do incidente para fins regulatórios em escala nacional, que não foi informada na carta estadual. A SecurityWeek também noticiou o evento da CCHC de forma independente, comparando o total do HHS com o documento apresentado ao órgão estadual.

A investigação constatou que um agente desconhecido acessou e obteve informações pessoais e de saúde entre 21 e 27 de março de 2025. A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas. A CCHC percebeu a atividade incomum em 28 de março, protegeu sua rede e iniciou uma investigação forense para determinar a natureza do evento.

A organização então recorreu a um serviço de análise terceirizado para identificar o conjunto de dados afetados e as pessoas que deveriam ser notificadas. A CCHC confirmou a extensão do impacto e obteve informações de contato suficientes em 26 de fevereiro de 2026. As cartas aos consumidores foram enviadas pelo correio em 23 de março de 2026; o intervalo de aproximadamente um ano corresponde à análise de arquivos e identidades, não à duração do acesso do agente.

A correspondência apresentada ao órgão regulador descreve os dados afetados como informações pessoais e informações de saúde protegidas. No caso dos residentes de New Hampshire, afirma expressamente que os nomes podem ter aparecido junto aos números de seguridade social. A CCHC também ofereceu serviços específicos de proteção de identidade às pessoas cujos números de seguridade social ou números de carteira de motorista e de documento de identificação estadual foram afetados.

Contagens de pessoas, campos de dados e alegações de agentes de ameaça que não foram verificados não são considerados parte do escopo público do incidente. Também não se presume que todos os campos estivessem presentes para todas as 110.304 pessoas.

O texto oficial afirma que informações sensíveis foram acessadas e obtidas, e não apenas que poderiam ter sido visualizadas. Essa conclusão oferece forte respaldo forense à possibilidade de os dados passarem ao controle do agente e distingue o evento de uma simples indisponibilidade dos sistemas. O documento apresentado ao órgão regulador, porém, não confirma que arquivos tenham sido divulgados publicamente nem que todos os campos tenham sido vendidos.

No momento da notificação, a CCHC afirmou não ter evidências de uso indevido dos dados envolvidos no incidente. A ausência de uso indevido conhecido não elimina os riscos futuros associados às informações de identidade e de saúde obtidas. Contagens de pessoas, campos de dados e alegações de agentes de ameaça que não foram verificados não são considerados parte do escopo público do incidente.

O número de pessoas afetadas ou de registros publicado pela fonte oficial representa o alcance informado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. Os 34 residentes de New Hampshire mencionados na carta ao órgão regulador estadual são um pequeno subconjunto estadual desse total nacional, não um incidente separado nem uma contagem adicional de vítimas. Esse subconjunto não é somado ao número nacional.

O total de pessoas não corresponde à quantidade de arquivos obtidos nem de campos de dados. Os números de seguridade social, de carteira de motorista e de documento de identificação estadual podem se aplicar apenas a determinados subgrupos, cujos tamanhos não foram divulgados publicamente.

A CCHC ofereceu às pessoas cujos números de seguridade social ou números de carteira de motorista e de documento de identificação estadual foram afetados 12 meses gratuitos de monitoramento de crédito, restauração de identidade e seguro contra roubo de identidade por meio da Cyberscout. Se você recebeu a notificação, deve observar o prazo e seguir as instruções de ativação da sua carta. A organização também notificou o FBI e implementou controles de segurança adicionais.

Relatórios de crédito, contas financeiras e demonstrativos de benefícios do seguro de saúde devem ser verificados regularmente para identificar transações, serviços ou solicitações de cobertura que você não reconheça. Mensagens inesperadas de pagamento ou verificação em nome da CCHC ou de um prestador de serviços de saúde devem ser confirmadas por um canal oficial conhecido.