Violação de dados da Gateway Community Services em 2025

O registro do HHS OCR reúne, em um único evento, a Gateway Community Services, uma prestadora de serviços de saúde da Flórida, o total de 34.498 pessoas, a data de comunicação de 29 de maio de 2025 e um servidor de rede. O site oficial atual da organização confirma a identidade da Gateway e os serviços que ela oferece em Jacksonville.

Reportagens independentes sobre segurança no setor de saúde e um resumo do evento em um registro estadual corroboram o acesso à rede em 11 de abril, a exfiltração de dados, a conclusão da análise de escopo em 16 de maio e os campos de dados informados. As cartas de notificação não dizem quando a intrusão foi detectada; por isso, não é indicada uma data exata de descoberta.

Pessoas não autorizadas obtiveram acesso ao ambiente de rede da Gateway em 11 de abril. Quando o incidente foi detectado, a organização adotou medidas para proteger sua rede e contratou especialistas externos em segurança cibernética para determinar a natureza e o alcance da atividade não autorizada.

A investigação constatou que determinados dados foram exfiltrados da rede. As fontes públicas não informam quanto tempo o acesso durou, o método de acesso inicial, a vulnerabilidade explorada nem a identidade do responsável; 11 de abril é registrado apenas como a data do acesso confirmado.

Dependendo da pessoa, as informações potencialmente afetadas incluíam nomes e sobrenomes, endereços, datas de nascimento, números de Seguro Social e números da carteira de motorista ou de documentos de identificação estaduais. Os relatos afirmam expressamente que os campos de dados informados não eram os mesmos para todas as pessoas.

Os dados de saúde podem ter incluído detalhes de tratamentos médicos e informações de seguro de saúde. Endereços de e-mail, senhas, contas financeiras, cartões de pagamento e informações sobre prescrições não são incluídos, pois os relatos públicos sobre o evento não confirmam que esses dados tenham sido envolvidos.

Números de identificação combinados com informações de tratamento e seguro de saúde podem facilitar roubo de identidade, fraudes no setor de saúde ou mensagens direcionadas convincentes. Números de Seguro Social e de documentos de identificação emitidos pelo governo não podem ser simplesmente alterados, portanto pode ser adequado manter o monitoramento por um longo período.

Alguém que conheça um detalhe real de um tratamento ou seguro de saúde pode fazer uma solicitação mais convincente, alegando representar a Gateway, uma clínica, um hospital ou uma seguradora. Ter esses detalhes não comprova que a pessoa esteja autorizada a agir em nome dessas entidades, e solicitações inesperadas devem ser verificadas por um canal independente.

A Gateway adotou medidas para proteger sua rede, contratou especialistas externos em segurança cibernética e realizou uma análise abrangente para identificar as pessoas afetadas e os tipos de informações envolvidos. Esse trabalho foi concluído em 16 de maio de 2025, e notificações por escrito foram enviadas às pessoas afetadas.

Segundo um resumo independente do evento, foram oferecidos às pessoas elegíveis 12 meses de monitoramento de crédito e proteção contra roubo de identidade. As fontes públicas não caracterizam o evento como ransomware, não identificam um grupo específico nem afirmam que todos os campos de dados informados se aplicavam a todas as pessoas.

Quem recebeu uma notificação deve revisar regularmente relatórios de crédito, contas financeiras e demonstrativos do seguro de saúde em busca de contas, transações, serviços ou solicitações de cobertura que não reconheça. Atividades suspeitas devem ser comunicadas à instituição financeira, ao prestador de serviços de saúde e à seguradora envolvidos e, quando apropriado, às autoridades.

Não compartilhe seu número de Seguro Social, informações de saúde, senha ou código de verificação de uso único em resposta a um e-mail, mensagem ou ligação inesperados. Se uma solicitação alegar ser da Gateway ou de outra organização de saúde, verifique sua autenticidade usando os dados de contato do site oficial, em vez de links ou números fornecidos na mensagem.