Violação de dados do Denton County MHMR Center em 2024

A principal evidência é o aviso de segurança de dados publicado no próprio domínio do Centro, atualizado em 30 de dezembro de 2025, juntamente com o PDF do aviso inicial vinculado a ele. O aviso informa que uma parte não autorizada acessou informações na rede entre 24 e 25 de dezembro de 2024. Essa constatação confirma que o acesso abrangeu dados protegidos; não se trata apenas de evidência de uma interrupção de serviço ou de atividade sem explicação.

O registro do HHS OCR classifica o Denton MHMR Center como Prestador de serviços de saúde, o evento como Incidente de hacking/TI e o local das informações como Servidor de rede; ele informa que 108.967 pessoas foram afetadas. O HIPAA Journal comparou de forma independente o aviso oficial, o registro federal e a lista atualizada de campos. As três fontes são consistentes quanto à organização, ao período de acesso e ao escopo.

O Centro identificou atividade incomum na rede em 24 de dezembro de 2024 ou próximo dessa data, protegeu o ambiente e iniciou uma investigação com especialistas externos. A análise determinou que a parte não autorizada teve acesso por um período limitado, de 24 a 25 de dezembro. A data do incidente se baseia na primeira atividade técnica que pode ser verificada em fontes públicas.

Quando a organização publicou um aviso substitutivo inicial em 21 de fevereiro de 2025, a análise dos arquivos e do grupo de pessoas envolvidas ainda estava em andamento. A organização determinou o escopo detalhado dos possíveis elementos de dados em 10 de outubro, comunicou o evento ao HHS OCR em 5 de novembro e, posteriormente, notificou os procuradores-gerais dos estados. O aviso na web foi atualizado em 30 de dezembro para incluir os serviços de monitoramento de crédito e proteção de identidade.

A lista oficial atual inclui nomes, endereços, números de identificação de pacientes, datas de nascimento, diagnósticos, históricos médicos, números de prontuários, tratamentos médicos, informações laboratoriais, nomes dos médicos responsáveis pelo tratamento, medicamentos, vacinas, informações de seguro de saúde e identificadores biométricos. Contagens de pessoas, campos de dados e alegações de agentes de ameaça que não foram verificados não são considerados parte do escopo público do incidente.

O PDF de fevereiro, publicado antes da conclusão da análise, também apontava números de Seguro Social e de contas bancárias como possíveis campos. A página atualizada em dezembro apresenta os resultados detalhados da análise concluída e não repete esses dois elementos.

A contagem de pessoas ou registros afetados publicada pela fonte oficial representa o escopo informado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. O HIPAA Journal identifica o grupo como pacientes atuais e antigos. O número contabiliza os indivíduos abrangidos pela notificação, não arquivos copiados, linhas ou campos; uma pessoa pode ter vários tipos de informações envolvidos.

O texto oficial confirma o acesso a determinadas informações, mas não afirma que arquivos foram retirados, divulgados publicamente ou vendidos. Contagens de pessoas, campos de dados e alegações de agentes de ameaça que não foram verificados não são considerados parte do escopo público do incidente. O texto também não atribui todas as categorias de dados listadas a todas as 108.967 pessoas.

O Centro protegeu sua rede após identificar a atividade incomum e contratou especialistas para investigar. Posteriormente, trabalhou com especialistas externos em cibersegurança para implementar proteções adicionais na rede e revisou e aprimorou suas políticas e procedimentos de proteção de dados. O aviso inicial também informa que as autoridades policiais foram notificadas.

O aviso atualizado informa que foram oferecidos serviços gratuitos de monitoramento de crédito e proteção de identidade às pessoas potencialmente afetadas. No momento da notificação, o Centro afirmou não ter evidências de uso indevido de informações relacionado ao incidente. A ausência de uso indevido observado não elimina o risco de longo prazo associado a informações sensíveis de saúde e a dados biométricos.

Quem recebeu a notificação pode usar a linha de atendimento dedicada do Centro para confirmar a elegibilidade e os prazos de adesão aos serviços oferecidos de monitoramento de crédito e proteção de identidade. Relatórios de crédito, extratos financeiros e demonstrativos de benefícios do seguro de saúde devem ser examinados regularmente para identificar contas, transações, médicos, serviços laboratoriais ou solicitações de cobertura que você não reconheça.

Se aparecer um registro de atendimento, prescrição, vacinação ou seguro que você não reconheça, entre em contato com o prestador de serviços de saúde e a seguradora pelos canais oficiais conhecidos. Como os dados biométricos não podem ser alterados como uma senha, solicitações inesperadas de verificação de identidade exigem atenção especial.