Violação de dados da Easypak em 2026

A fonte primária é a carta oficial “Informações importantes” da G-Pak Holdings LLC, que opera sob o nome Easypak, disponível no arquivo de notificações a consumidores de Massachusetts. Ela descreve diretamente a descoberta de 13 de janeiro, as medidas de segurança dos sistemas, a investigação com especialistas externos, o resultado da análise de dados de 8 de junho, o monitoramento de crédito gratuito e a linha exclusiva de atendimento pelo número 978-537-5683, ramal 1003.

O Claim Depot vincula o documento oficial ao perfil da Easypak e apresenta um resumo com pelo menos 217 residentes de Massachusetts afetados, além das categorias informadas de dados de identificação, financeiros e médicos. Também informa que o grupo de ransomware Akira alegou, em 29 de janeiro, ter obtido 67 GB de dados. A carta pública da Easypak não confirma o nome do grupo, o uso de ransomware nem o volume de 67 GB; por isso, a LeakData mantém esses elementos claramente atribuídos à alegação do agente de ameaça.

A Easypak tomou conhecimento de um acesso não autorizado à sua rede de computadores por volta de 13 de janeiro. A organização adotou medidas para proteger seus sistemas e trabalhou com profissionais externos experientes em segurança cibernética para determinar a extensão total do incidente e quais dados foram afetados. Em 8 de junho, a investigação constatou que determinados arquivos contendo informações pessoais podem ter sido acessados sem autorização em 13 de janeiro.

A carta oficial não informa como ocorreu o acesso inicial, sua duração exata, se houve confirmação de exfiltração de dados, a identidade do responsável ou se os sistemas foram criptografados. As declarações sobre o Akira e os 67 GB na fonte secundária são atribuídas ao agente de ameaça, e não à Easypak. Assim, as informações verificadas deste registro se limitam ao acesso não autorizado à rede e ao possível acesso a arquivos; a atribuição a ransomware não é apresentada como fato comprovado.

O modelo oficial de carta afirma que os arquivos afetados continham o nome completo do destinatário e outro campo de informações de identificação pessoal (PII), preenchido individualmente para aquela pessoa. O resumo regulatório que remete à fonte identifica as categorias variáveis como números de Seguro Social, informações de carteira de motorista, informações de contas financeiras e prontuários médicos. Você não deve presumir que todas as categorias estavam presentes em conjunto para cada destinatário; a carta individual é a fonte oficial para a lista de campos.

O material público não confirma separadamente endereços de e-mail, senhas, hashes de senhas, nomes de usuário, nomes de bancos, números de roteamento bancário, saldos, cartões de pagamento, CVVs, PINs, diagnósticos, tratamentos, prescrições, números de apólices ou números de prontuários médicos. “Conta financeira” e “prontuários médicos” são categorias amplas. Acrescentar subcampos ausentes das fontes ampliaria artificialmente o risco descrito.

Um nome combinado com um SSN ou um dado da carteira de motorista pode facilitar fraudes na abertura de contas, uso indevido da identidade para fins fiscais ou solicitações direcionadas apresentadas como verificação de identidade. Se a sua notificação listar informações de contas financeiras, fique atento a transações desconhecidas, novos favorecidos ou alterações nos dados de contato. A presença de uma categoria na lista geral do incidente não comprova que ela estava presente nos dados de todas as pessoas nem que houve uso indevido.

A categoria de prontuários médicos pode tornar mais convincentes ligações falsas de prestadores de serviços de saúde ou mensagens de cobrança. Se você recebeu uma notificação, confirme diretamente com a instituição responsável quaisquer serviços, prestadores ou alterações que você não reconheça em um demonstrativo de benefícios ou no portal do paciente. Não forneça seu SSN completo, dados de conta ou códigos de uso único em contatos inesperados de quem alegue representar a Easypak, um serviço de monitoramento ou uma organização de saúde.

A Easypak afirmou que protegeu seus sistemas, realizou uma análise minuciosa com profissionais externos de segurança cibernética e continuou avaliando e aprimorando seus controles de segurança e privacidade. Até a data da carta, não havia evidências de que as informações pessoais tivessem sido usadas para fraude financeira ou roubo de identidade. Essa constatação se limita àquele momento e não é uma garantia contra uso indevido posterior.

A organização ofereceu monitoramento de crédito gratuito e forneceu instruções sobre alertas de fraude, bloqueio de consultas ao histórico de crédito e relatórios de crédito gratuitos. Sua linha exclusiva de atendimento fica disponível por 90 dias a partir da data de cada carta, de segunda a sexta-feira, das 8 da manhã às 8 da noite, no horário do leste dos Estados Unidos. As orientações gerais sobre SSN e uso indevido da identidade em serviços de saúde incluídas no apêndice são preventivas e não comprovam que os dados de cada destinatário incluíam todas as categorias.

As fontes regulatórias confirmam pelo menos 217 residentes de Massachusetts afetados, mas não divulgam o total nacional. Portanto, esse número é um limite mínimo verificado; o número de funcionários, clientes ou fornecedores da Easypak não deve ser usado como substituto para a contagem de vítimas.

Se você recebeu uma notificação, primeiro identifique os campos exatos mencionados na sua carta. Se ela listar um SSN ou um dado da carteira de motorista, considere solicitar um bloqueio de consultas ao histórico de crédito e um alerta de fraude; se listar informações de contas financeiras, acompanhe a movimentação junto à instituição e converse sobre a necessidade de fazer alterações na conta. Quando pertinente, verifique serviços médicos que você não reconheça. Se você não recebeu uma notificação, não presuma que foi afetado apenas com base neste registro público, e não trate a alegação do Akira como uma atribuição confirmada pela Easypak.