Violação de dados de 2025 na Coastal Carolina Urology (Rivertown)

A notificação oficial aos consumidores informa que alguém sem autorização acessou os sistemas entre 26 de agosto e 2 de setembro de 2025. Por volta de 24 de abril de 2026, a investigação determinou que informações relacionadas a pacientes podem ter sido acessadas e obtidas durante o evento. As notificações aos órgãos reguladores ocorreram em maio de 2026.

Os documentos públicos não identificam o método de acesso inicial, uma vulnerabilidade específica, se houve uso de ransomware ou quem foi responsável. Por isso, este registro utiliza apenas as classificações publicadas pelo HHS, referentes a servidor de rede e invasão/tecnologia da informação, sem acrescentar um grupo de ameaça ou método técnico não verificado.

A notificação oficial confirma que o evento envolveu informações de pacientes e informações de saúde protegidas, mas o texto público não apresenta uma lista detalhada de campos aplicável a todas as pessoas. Não se deve presumir que nomes, números de Seguro Social dos EUA (Social Security), dados financeiros ou campos médicos específicos tenham sido envolvidos no caso de cada pessoa. A carta de notificação individual é a fonte mais específica sobre o alcance do incidente para aquela pessoa.

Informações de saúde podem tornar tentativas de phishing mais convincentes quando a mensagem menciona um serviço médico ou um detalhe de cobrança. Quem recebeu a notificação não deve fornecer informações adicionais de saúde, senhas, códigos de uso único ou dados de pagamento em uma ligação ou um e-mail inesperado. Entre em contato com a organização por um canal verificado de forma independente, sem se basear na mensagem.

O registro do HHS e o relatório do procurador-geral de Indiana apresentam o mesmo total nacional de 2.886 pessoas afetadas. O relatório de Indiana também identifica dois residentes do estado, mas esse número já está incluído no total nacional e não deve ser somado a ele. Como os registros públicos não apresentam contagens por campo de dados, o total não permite concluir que os mesmos tipos de informação tenham sido afetados para todas as pessoas.

A organização também aparece com o nome comercial Rivertown Surgery Center no cadastro oficial do CMS. Esse nome se refere ao centro de cirurgia ambulatorial da mesma pessoa jurídica e não representa uma violação separada nem um grupo adicional de pessoas afetadas. O incidente da Coastal Carolina Health Care, cujo nome é semelhante, corresponde a outra organização e a outro evento.

A notificação informa que foi disponibilizado apoio para monitoramento de identidade por meio da Kroll às pessoas elegíveis. Quem recebeu a notificação deve consultar sua carta para confirmar o prazo de inscrição, o código de ativação e os campos de dados identificados no seu caso. Durante a inscrição, devem ser utilizados apenas o site e os dados de contato verificados que constam na notificação.

É possível revisar portais de pacientes, demonstrativos explicativos de benefícios do seguro-saúde e contas médicas em busca de serviços ou prestadores desconhecidos, ou de alterações nos dados de contato. Se a carta individual listar expressamente um número de Seguro Social dos EUA ou informações financeiras, a pessoa também pode consultar seus relatórios de crédito e considerar um alerta de fraude gratuito ou um bloqueio de crédito. Um campo não mencionado no resumo público não deve ser tratado como afetado.