Vazamento de dados da FMRS Health Systems em 2026

A fonte principal é o Aviso de Incidente de Segurança de Dados, disponível por meio de um link no próprio domínio da FMRS. A organização informa diretamente as datas do incidente, o acesso não autorizado, a cópia de arquivos, o andamento inicial da investigação, as categorias de informações pessoais e de saúde possivelmente envolvidas, os sistemas que não foram afetados e as medidas de proteção disponíveis às pessoas.

A segunda confirmação é o registro do HHS OCR, que identifica a FMRS como uma prestadora de serviços de saúde da Virgínia Ocidental, classifica o evento como um incidente de invasão/TI envolvendo um servidor de rede, informa um total de 500 pessoas e indica 28 de abril de 2026 como a data de envio. O Claim Depot reúne o mesmo aviso oficial e o registro do HHS, corroborando a cronologia e os campos de dados envolvidos.

A FMRS identificou atividade irregular em determinados sistemas de computadores de sua rede em 27 de fevereiro, tomou medidas para proteger a rede e iniciou uma investigação. As conclusões iniciais mostraram que uma parte não autorizada acessou determinados sistemas de 20 de janeiro a 27 de fevereiro e copiou arquivos durante esse período. A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas.

O aviso oficial afirma expressamente que os sistemas de prontuário eletrônico e de e-mail da organização não foram afetados. Essa delimitação é importante: informações sensíveis podem ter estado presentes nos arquivos copiados, mas as fontes não afirmam que toda a plataforma clínica, todos os e-mails ou o prontuário completo de cada paciente foram obtidos.

As possíveis informações pessoais incluem nomes, endereços, datas de nascimento, números de seguridade social, números de carteiras de habilitação e informações de contas financeiras. Essa combinação eleva os riscos de roubo de identidade, obtenção fraudulenta de crédito, tomada de controle de contas e engenharia social convincente. O texto oficial explica que as informações envolvidas podem variar de uma pessoa para outra.

A contagem federal é de 500 pessoas, não de arquivos copiados ou campos de dados. O aviso oficial informa que nem todos os pacientes foram afetados e que a análise ainda estava em andamento quando o aviso inicial foi emitido. Por isso, o LeakData não afirma que todas as categorias se aplicavam às 500 pessoas e não confunde o total de pessoas com o volume de arquivos.

A lista oficial da FMRS inclui informações sobre histórico médico, diagnósticos, tratamentos, prescrições, médicos, números de prontuário e seguro-saúde. Em um contexto de saúde comportamental, essas categorias são especialmente sensíveis e podem gerar riscos relacionados à privacidade médica, à discriminação, a fraudes direcionadas e ao uso da identidade de outra pessoa para obter serviços de saúde.

A fonte pode afirmar que o EHR não foi afetado e, ao mesmo tempo, confirmar que arquivos separados podem ter contido ou exposto esses campos de informações de saúde; as afirmações não são contraditórias. O LeakData não interpreta documentos armazenados fora do EHR como um prontuário clínico completo. Números de cartões de pagamento, senhas e dados biométricos não são incluídos porque a lista oficial não os menciona.

O Claim Depot relata que um grupo de ransomware conhecido como Qilin publicou na dark web uma alegação de responsabilidade em 13 de março de 2026. O aviso oficial da FMRS não identifica nenhum grupo específico. O LeakData trata essa alegação como um elemento secundário da cronologia e não atribui o ataque de forma definitiva, do ponto de vista técnico ou jurídico, a um invasor.

A FMRS afirma que protegeu a rede, iniciou uma investigação para confirmar a natureza e a abrangência do evento e notificou as autoridades policiais e os órgãos reguladores competentes. Seu aviso inicial informou que não havia indícios de roubo de identidade ou fraude relacionados ao evento. Essa constatação não elimina a possibilidade de uso indevido posterior dos arquivos sensíveis copiados.

As pessoas devem revisar regularmente as movimentações bancárias e dos cartões de pagamento, os relatórios de crédito, os demonstrativos de benefícios do seguro-saúde e os históricos de prescrições em busca de transações incomuns. Se aparecer uma conta, um serviço médico, uma prescrição ou uma solicitação ao seguro que não reconheçam, devem entrar em contato com a instituição por um canal verificado; um alerta de fraude gratuito ou um bloqueio de crédito também pode ser adequado.

Mensagens de phishing que mencionem o incidente da FMRS devem ser tratadas com cautela, e SSNs, dados de carteiras de habilitação, informações de contas ou dados de saúde não devem ser compartilhados por meio de links ou ligações inesperadas. A FMRS divulgou o telefone 304-256-7100 para esclarecer dúvidas em dias úteis.