Violação de dados da FYZICAL em 2024

A notificação oficial da Fyzical Acquisition Holdings reúne, em um único evento, a descoberta em 9 de dezembro de 2024, o possível acesso não autorizado a dados de e-mail, a conclusão da análise dos dados em 25 de novembro de 2025 e os tipos de informações divulgados. O registro do HHS OCR confirma a organização, o ambiente de e-mail e o total atual de 43.045 pessoas.

Um resumo independente do evento também descreve os documentos apresentados às autoridades estaduais, a cronologia do incidente e os campos divulgados. As 1.801 pessoas registradas como afetadas no Texas são um subconjunto estadual do mesmo incidente, e não um evento separado nem um número adicional a ser somado ao total nacional de 43.045 registrado pelo HHS.

A organização identificou uma atividade incomum em seu ambiente de e-mail em 9 de dezembro e iniciou uma investigação para entender a natureza e a abrangência do evento. A investigação concluiu que alguns dados de e-mail podem ter sido visualizados ou copiados sem autorização durante o incidente.

A notificação pública não informa quando o acesso começou, quais contas foram utilizadas ou qual falha técnica foi explorada, nem a identidade do responsável. Por isso, 9 de dezembro é registrado como a data da descoberta, e não como uma data confirmada do primeiro acesso ou um marco que delimite o período de acesso.

Dependendo da pessoa, as informações potencialmente afetadas incluíam nomes, datas de nascimento, números do Seguro Social e números de carteira de motorista ou de documentos de identificação estaduais. Informações de contas financeiras e cartões de pagamento também aparecem entre os campos divulgados na notificação oficial.

Informações de seguro de saúde e dados médicos também podem ter sido afetados. A organização afirma expressamente que nem todos os campos se aplicavam a todas as pessoas; endereços de e-mail e senhas não são incluídos porque não estão entre os tipos de informações divulgados publicamente.

Números de identificação combinados com informações financeiras e de saúde podem facilitar o roubo de identidade, a abertura fraudulenta de contas, fraudes em pagamentos ou mensagens direcionadas convincentes. Como números do Seguro Social e de documentos de identificação emitidos pelo governo não podem ser simplesmente alterados, pode ser recomendável manter o monitoramento por um longo período.

Alguém que conheça um detalhe real sobre um tratamento, seguro ou situação financeira pode elaborar uma solicitação mais convincente, alegando representar a FYZICAL, um prestador de serviços de saúde, um banco ou um órgão governamental. Ter esses detalhes não comprova que a pessoa esteja autorizada a fazer a solicitação, e pedidos inesperados devem ser verificados por um canal independente.

A Fyzical Acquisition Holdings analisou os dados de e-mail para identificar as informações e as pessoas afetadas, concluindo essa análise abrangente em 25 de novembro de 2025. As notificações foram enviadas pelo correio às pessoas cujos endereços estavam disponíveis, e serviços de monitoramento de crédito e proteção de identidade foram oferecidos às pessoas elegíveis.

A organização também afirma que revisou e aprimorou as políticas e os procedimentos existentes. As fontes públicas não classificam o evento como ransomware, não identificam um grupo responsável e não afirmam que todos os campos potencialmente afetados foram de fato copiados.

Se você recebeu uma notificação, verifique regularmente seus relatórios de crédito, contas financeiras e demonstrativos do seguro de saúde em busca de contas, transações, serviços ou solicitações de cobertura que não reconheça. Atividades suspeitas devem ser comunicadas à instituição financeira pertinente, à seguradora e, quando apropriado, às autoridades.

Não forneça um número do Seguro Social, informações de cartão, senha ou código de verificação de uso único em resposta a um e-mail, mensagem ou ligação inesperados. Se uma solicitação alegar vir da FYZICAL ou de outra organização, verifique sua autenticidade usando os dados de contato do site oficial, em vez dos links ou números presentes na mensagem.