Violação de dados da Devereux Foundation em 2025

A principal fonte sobre o incidente é o “Aviso de incidente com dados”, publicado no domínio da própria Devereux. Emitido em nome da organização, o aviso descreve diretamente a data da descoberta, o período de acesso não autorizado, a cópia de arquivos, as categorias de dados analisadas, a comunicação às autoridades policiais e a oferta de monitoramento de crédito gratuito.

A segunda fonte oficial é o registro de violação de segurança de dados BR-0005199 da Procuradoria-Geral do Texas. Ele identifica a The Devereux Foundation em seu endereço em Villanova, na Pensilvânia, e publica o total de 86.958 pessoas nos Estados Unidos, o subconjunto de 5.341 residentes do Texas, os métodos de notificação e as principais categorias de dados. As duas fontes concordam quanto à organização e à data de início do incidente.

A Devereux detectou atividade suspeita em determinados sistemas de sua rede de computadores em 9 de novembro. A organização começou a isolar sistemas, avaliar a segurança da rede e investigar a natureza e a extensão do evento. A análise, com apoio de especialistas externos, determinou que um agente acessou determinados sistemas de 6 a 9 de novembro e copiou arquivos sem permissão.

Em seguida, a organização realizou uma análise detalhada para determinar se os arquivos copiados continham informações sensíveis e a quais pessoas essas informações se referiam. O comunicado público não identifica o método de acesso inicial, a vulnerabilidade explorada, o malware, a exigência de resgate ou o agente responsável. Portanto, o evento não foi atribuído a um grupo ou a uma técnica de ataque específica.

Segundo o comunicado oficial da Devereux, as informações variavam de pessoa para pessoa. Os possíveis campos incluíam nomes, datas de nascimento, números de Seguro Social, números de carteira de motorista ou de documentos de identificação estaduais, números de registro de estrangeiros nos EUA, números de identificação fiscal e assinaturas digitais ou eletrônicas.

Os arquivos copiados também poderiam conter informações de contas financeiras, cartões de pagamento, informações médicas e dados de seguro-saúde. O comunicado não afirma que todas as categorias estavam envolvidas para cada pessoa afetada. Senhas, conteúdo de e-mails e dados biométricos não foram listados entre as categorias afetadas no comunicado oficial do incidente e não estão incluídos neste registro.

O registro BR-0005199 da Procuradoria-Geral do Texas informa um total exato de 86.958 pessoas afetadas em todo o país. O mesmo registro identifica separadamente 5.341 residentes do Texas. O número referente ao Texas é um subconjunto da população nacional afetada e não foi somado ao total.

O portal do Texas registra 6 de novembro de 2025 como a data de início da violação e informa que a notificação foi feita por meio de publicação em um site da empresa ou em um site específico, além de correspondência enviada pelo serviço postal dos EUA. O comunicado da Devereux afirma que o acesso continuou até 9 de novembro e que a notificação começou em 8 de janeiro de 2026. Os diferentes campos de data das fontes foram interpretados como marcos do incidente, da análise e da notificação, em vez de serem combinados em uma única data.

A Devereux afirmou que isolou sistemas, contratou especialistas externos para apoiar a segurança e as operações da rede e comunicou o evento às autoridades policiais. A organização também revisou políticas e procedimentos, iniciou treinamentos adicionais para funcionários com o objetivo de reduzir a possibilidade de um evento semelhante e notificou os órgãos reguladores competentes.

Foi oferecido às pessoas afetadas monitoramento de crédito gratuito pela Experian. O comunicado oficial afirma que não havia indícios de roubo de identidade ou fraude decorrentes do incidente, nem de tentativas dessas práticas. Essa declaração reflete a situação no momento do comunicado; continuar o monitoramento ainda é uma medida prudente, pois a cópia de arquivos foi confirmada.

Se você recebeu uma notificação, confira os tipos de dados identificados na carta e cadastre-se na Experian apenas com o código verificado fornecido nela. Verifique relatórios de crédito, movimentações bancárias e de cartões, demonstrativos de benefícios do seguro-saúde e registros de serviços médicos em busca de contas, transações ou serviços que você não reconheça. Se um número de Seguro Social estiver envolvido, pode ser adequado solicitar um bloqueio de crédito gratuito e um alerta de fraude.

Não forneça senhas, números completos de identificação, pagamentos ou códigos de verificação em resposta a mensagens inesperadas que aleguem representar a Devereux, a Experian, um plano de saúde ou uma instituição financeira. Use um canal oficial conhecido em vez dos links da mensagem. Dúvidas sobre o evento podem ser encaminhadas ao telefone 833-745-1528, indicado no comunicado da Devereux; a carta de notificação de cada pessoa é a principal fonte sobre os campos de dados específicos envolvidos.