Violação de dados da Family Partnerships of Central Florida em 2025

A principal fonte primária é o documento “Aviso de incidente de dados”, publicado pela organização em fpocf.org. Ele descreve diretamente as datas do acesso não autorizado, a cópia e a remoção de informações, a investigação, as categorias de informações afetadas, as medidas de segurança adotadas e a linha telefônica exclusiva de atendimento. O aviso da própria organização mostra que o evento não se limita a uma alegação e fornece as evidências centrais.

Uma carta enviada a destinatários em 17 de julho de 2026, disponível no arquivo da Procuradoria-Geral de Massachusetts, corrobora a identidade da entidade, o processo de notificação, a declaração sobre uso indevido e a oferta de proteção por 24 meses. A Claim Depot relaciona os documentos oficiais ao mesmo evento e resume os números de pessoas afetadas informados para Massachusetts e Vermont. As três fontes são consistentes quanto aos fatos relevantes.

A Family Partnerships disse ter sido alertada de que dados pertencentes à organização haviam sido vazados na internet por um terceiro não autorizado. Uma investigação com especialistas externos em análise forense constatou que um agente não autorizado acessou determinados sistemas entre 4 de dezembro de 2025 e 2 de janeiro de 2026 e copiou ou removeu informações armazenadas neles. Em seguida, a organização analisou documentos para identificar as pessoas e os tipos de dados envolvidos.

As fontes não informam se o acesso inicial ocorreu por meio de phishing, de uma senha roubada, de um serviço exposto ou de uma vulnerabilidade de software. A Claim Depot relata que um grupo chamado Money Message reivindicou a responsabilidade em 28 de janeiro, mas o aviso primário da organização não confirma a autoria desse grupo. Por isso, a alegação não é registrada como atribuição oficial de autoria nem como causa raiz técnica do incidente.

A lista exata no aviso oficial da organização é: nome, data de nascimento, número de Seguro Social, número da carteira de motorista ou de documento de identificação estadual, informações de contas financeiras e informações pessoais de saúde. O aviso afirma que essas categorias estavam presentes nos arquivos afetados; não afirma que cada destinatário teve dados de todas essas categorias afetados. A lista de campos na carta individual é mais específica para aquela pessoa.

As fontes não identificam separadamente endereços, endereços de e-mail, senhas, CVVs de cartões, PINs bancários, diagnósticos médicos, prescrições, resultados de exames laboratoriais ou números de beneficiários de seguros como campos confirmados. “Informações de contas financeiras” e “informações pessoais de saúde” são categorias amplas, e detalhá-las em subcampos não documentados distorceria o risco. A LeakData lista apenas as categorias publicadas.

Os números públicos das notificações estaduais referentes a este incidente são de 89 pessoas em Massachusetts e duas em Vermont. O total de 91 representa apenas registros comprovados desses dois estados, por isso é registrado como um limite mínimo. A organização tem sede na Flórida e não publicou um total nacional de vítimas sem duplicidades; tratar as contagens de dois estados como o total exato do evento seria enganoso.

O número de crianças, famílias, funcionários ou parceiros atendidos pela organização não pode substituir uma contagem de vítimas. O volume de dados alegado por um agente também não pode ser convertido em um número de pessoas distintas.

A Family Partnerships afirmou que protegeu seu ambiente computacional após tomar conhecimento do incidente, investigou a atividade com especialistas externos e analisou os arquivos afetados. Também afirmou que estava revisando as políticas, os procedimentos e os processos que regem o armazenamento de informações sensíveis e o acesso a elas. Na data da notificação, informou não haver indícios de uso indevido efetivo ou de tentativas de uso indevido das informações afetadas.

A carta enviada aos destinatários em Massachusetts informa que foram oferecidos às pessoas elegíveis, gratuitamente, 24 meses de monitoramento de crédito em um único birô, um relatório de crédito, uma pontuação de crédito e assistência em caso de fraude por meio da Cyberscout. Para se inscrever, é necessário usar o código exclusivo da carta em até 90 dias a partir da data da carta. A linha de atendimento 1-855-302-7461 funciona nos dias úteis, das 8 da manhã às 8 da noite, no horário do leste dos EUA, exceto nos feriados dos EUA.

Se você recebeu uma notificação, primeiro confirme os campos identificados no aviso individual. Se um SSN ou um documento de identificação oficial foi afetado, considere solicitar o congelamento gratuito do crédito nos três birôs de crédito, um alerta de fraude e um IRS IP PIN. No caso de informações de contas financeiras, confira as transações e as instruções de pagamento que você não reconhece; no caso de informações de saúde, verifique os demonstrativos de benefícios, os registros dos prestadores de serviços de saúde e os serviços sem explicação.

O contexto dos serviços voltados a crianças e famílias pode ajudar criminosos a preparar ligações ou mensagens direcionadas sobre atualizações de documentos, benefícios ou pagamentos de auxílio. Acesse diretamente fpocf.org e o canal oficial indicado no aviso, em vez de seguir um link recebido. Não forneça a quem ligar uma senha, seu SSN completo, um código de verificação bancária ou um código de uso único só porque essa pessoa conhece um nome verdadeiro, um vínculo com o serviço ou um campo afetado.