Violação de dados da Erie Family Health Centers em 2025

A Erie identificou um acesso potencialmente não autorizado a determinados sistemas da rede em 27 de janeiro de 2026 e iniciou uma investigação com especialistas externos. A análise forense confirmou que a rede foi alvo de acesso não autorizado de 10 de dezembro a 27 de janeiro. A organização comunicou o incidente às autoridades policiais, protegeu os sistemas e revisou os dados que podem ter sido afetados.

O HHS OCR classifica o evento como Ataque hacker/Incidente de TI, indica Servidor de rede como local das informações e Prestador de serviços de saúde como tipo de entidade. O HIPAA Journal comparou o aviso oficial com o registro federal e corroborou o período de acesso, a abrangência de 570.000 pessoas e as categorias de arquivos.

A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas. O terceiro não autorizado pôde permanecer na rede por cerca de sete semanas, e a Erie identificou e encerrou o acesso em 27 de janeiro. A data da descoberta é diferente da data de início, e o ano no título corresponde ao acesso inicial em 2025.

Após revisar o conteúdo dos arquivos, a organização começou a enviar notificações pelo correio às pessoas afetadas. O registro do HHS indica 27 de março de 2026 como data de envio; o HIPAA Journal publicou o total informado no registro federal e as categorias divulgadas em maio. A Erie afirmou que reforçou a segurança da rede para ajudar a prevenir incidentes semelhantes e que colaborou com as autoridades policiais durante a investigação.

Os dados de identificação potencialmente envolvidos incluíam nomes, endereços físicos, números de telefone, endereços de e-mail e datas de nascimento. Entre os identificadores mais sensíveis estavam números do Seguro Social, de carteiras de motorista ou documentos de identidade estaduais, de identificação fiscal e de passaportes. A divulgação não informou que todas as categorias estavam presentes nos arquivos de todas as pessoas, portanto a lista não define com certeza a abrangência do impacto para cada indivíduo.

Isoladamente ou em conjunto, esses dados podem facilitar a abertura fraudulenta de contas, fraudes fiscais e phishing direcionado. A combinação de dados de contato com informações médicas pode tornar mais convincente uma mensagem falsa que se passe por uma organização de saúde. As fontes não identificam um grupo de atacantes que tenha reivindicado a responsabilidade pelo incidente.

Informações de contas financeiras e de cartões de pagamento estavam potencialmente envolvidas. Credenciais de contas on-line, assinaturas digitais e dados biométricos também estavam entre as categorias que poderiam estar presentes nos arquivos afetados.

Senhas podem ser alteradas, enquanto assinaturas digitais e características biométricas podem representar riscos mais duradouros. Se a sua notificação mencionar informações de cartões de pagamento ou contas financeiras, você deve comunicar prontamente transações que não reconheça; se houver credenciais de contas on-line envolvidas, use senhas exclusivas para cada conta e ative a autenticação multifator. Essas precauções não significam que todas as vítimas tiveram todos esses dados afetados.

Os dados médicos envolvidos incluíam informações sobre tratamentos ou diagnósticos, informações sobre prescrições, datas de atendimento, identificadores de pacientes e de atendimentos, nomes de prestadores de serviços de saúde, números de contas de pacientes e números de prontuários médicos. Números do Medicare ou Medicaid, informações de seguro-saúde e informações sobre custos de tratamento também estavam entre as categorias divulgadas. Esses dados podem gerar riscos de roubo de identidade médica, solicitações fraudulentas de cobertura e violações de privacidade.

A contagem de pessoas ou registros afetados publicada pela fonte oficial representa a abrangência informada do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. Esse total não está dividido por categoria de dados nem se aplica separadamente a cada campo.

A Erie ofereceu às pessoas afetadas serviços gratuitos de monitoramento de crédito e proteção de identidade e criou uma central de atendimento exclusiva para dúvidas. Se você recebeu uma notificação, siga as instruções de adesão na carta, examine seus relatórios de crédito e a movimentação de suas contas financeiras e cartões de pagamento e considere solicitar um alerta de fraude ou um bloqueio de crédito caso um número do Seguro Social esteja envolvido.

Verifique também os demonstrativos do seguro-saúde, os históricos de prescrições e as contas de pacientes em busca de serviços, prestadores, custos ou solicitações de cobertura que você não reconheça. Confirme por um canal oficial conhecido qualquer pedido inesperado de pagamento, senha ou verificação de identidade feito em nome da Erie.