Violação de dados da GrayRobinson em 2025

A fonte principal é o comunicado da própria GrayRobinson sobre o incidente. O escritório informa diretamente o período de acesso, a data de detecção, as medidas de resposta, o resultado da análise dos arquivos e os campos de dados, que variavam de pessoa para pessoa. O comunicado estabelece que o evento foi além de tráfego suspeito: afirma que os arquivos afetados podem ter sido acessados ou removidos por uma ou mais pessoas não autorizadas.

O relatório atual da Procuradoria-Geral de Indiana sobre as violações registradas no ano até o momento lista a GrayRobinson P.A., informa 5 de março de 2025 como a data de início da violação e 24 de abril de 2026 como a data de notificação, e registra 234 residentes de Indiana e 80.383 pessoas afetadas no total. Separadamente, o portal do Escritório de Direitos Civis do HHS lista o escritório como Associado comercial, informa 54.131 pessoas e classifica o evento como Invasão/Incidente de TI envolvendo um Servidor de rede. Assim, o comunicado da organização, o órgão regulador estadual e o registro federal da área de saúde fornecem confirmações complementares.

A declaração oficial da GrayRobinson afirma que o acesso não autorizado à sua rede ocorreu entre 5 e 24 de março de 2025. O escritório detectou o incidente por volta de 24 de março. A investigação constatou que alguns arquivos podem ter sido acessados ou removidos nesse período, mas o comunicado público não identifica a vulnerabilidade explorada, o método de acesso inicial, o responsável nem se algum arquivo foi publicado posteriormente.

As fontes públicas não caracterizam o evento como ransomware nem o atribuem a um grupo de agentes de ameaça identificado pelo nome. A classificação do HHS usa os termos Invasão/Incidente de TI e Servidor de rede. Por isso, este registro descreve uma invasão confirmada da rede e a possibilidade de acesso ou remoção de arquivos, sem acrescentar uma técnica não verificada, uma exigência de resgate ou uma alegação de publicação na dark web.

A GrayRobinson afirma que as informações variavam conforme a pessoa e podem ter incluído uma ou mais das seguintes categorias: nome e sobrenome, data de nascimento, número do Seguro Social, número da carteira de motorista, identificação estadual ou governamental, informações de contas financeiras, informações médicas e informações de seguro de saúde. O comunicado não afirma que os arquivos de todas as pessoas afetadas continham todas essas categorias.

Um número do Seguro Social combinado com uma identificação governamental pode aumentar o risco de fraude na abertura de contas ou de alguém se passar por outra pessoa. Informações de contas financeiras podem facilitar fraudes em contas, enquanto dados médicos e de seguros podem permitir o uso indevido da identidade em serviços de saúde ou mensagens direcionadas altamente convincentes. Como a notificação individual identifica quais campos se aplicam ao destinatário, as informações dessa carta devem prevalecer sobre a lista geral.

No relatório atual disponível da Procuradoria-Geral de Indiana, 80.383 é expressamente identificado como o total de pessoas afetadas, e 234 corresponde ao número de residentes de Indiana. Uma versão anterior do registro de Indiana mostrava um total de 65.113, mas o relatório atual eleva o número para 80.383. Portanto, este registro usa o total geral explícito mais recente do órgão regulador, em vez do valor anterior.

O número de 54.131 no portal do HHS corresponde às pessoas informadas separadamente por meio do programa federal de notificação de violações da HIPAA e é 26.252 menor que o total de Indiana. O registro do HHS é um relatório regulatório da área de saúde, enquanto Indiana apresenta uma coluna específica para o total geral. Como as fontes não explicam se a diferença decorre do universo de pessoas abrangidas, das obrigações de notificação ou do momento das atualizações, os valores não são somados, e o número do HHS não substitui o total nacional.

O escritório afirma que protegeu sua rede, comunicou o evento às autoridades policiais e trabalhou com profissionais externos de cibersegurança com experiência em resposta a incidentes. Em seguida, realizou uma análise detalhada das informações potencialmente afetadas. Após concluir essa análise em 13 de abril de 2026, a GrayRobinson começou, em 24 de abril, a notificar as pessoas cujas informações podem ter constado nos arquivos.

Um modelo de notificação afirma que, até a data do comunicado, o escritório não tinha evidências de que as informações tivessem sido usadas para fraude financeira ou roubo de identidade e ofereceu aos destinatários elegíveis monitoramento gratuito por meio do Experian IdentityWorks. Essa declaração não garante que não haverá uso indevido no futuro. A GrayRobinson também afirma que continua a avaliar e modificar suas práticas e seus controles internos, embora o comunicado público não descreva as mudanças técnicas.

Se você recebeu uma notificação, primeiro confira na carta quais campos de dados se aplicam ao seu caso e qual é o prazo de inscrição em qualquer serviço gratuito oferecido. Se um número do Seguro Social ou um identificador governamental estiver envolvido, revise os relatórios das três agências de crédito e considere solicitar um alerta de fraude ou um congelamento de crédito gratuitos. Se a carta listar informações de contas financeiras, monitore as transações e as alterações nos dados de contato.

Se a sua carta mencionar informações médicas ou de seguro de saúde, você pode revisar os demonstrativos de benefícios e os portais do paciente em busca de serviços, procedimentos ou prestadores que não reconheça. Não compartilhe senhas, dados de pagamento ou códigos de uso único em mensagens inesperadas que usem o nome da GrayRobinson. A linha de atendimento para o incidente é 844-403-4596, disponível de segunda a sexta-feira, das 9:00 da manhã às 6:30 da tarde, no horário do leste dos Estados Unidos; confirme o número no comunicado oficial atual do escritório antes de ligar.