Violação de dados da MCBS em 2025

A MCBS confirmou em seu próprio comunicado público que sua rede sofreu acesso não autorizado. Uma investigação forense conduzida com especialistas em segurança cibernética determinou que um usuário não autorizado esteve nos sistemas entre 22 e 26 de setembro. Esse comprometimento confirmado da rede foi registrado no portal federal do HHS como um incidente de hacking/IT envolvendo um servidor de rede.

A empresa informou que alguns arquivos podem ter sido acessados ou removidos; não afirmou que a exfiltração foi uma conclusão definitiva da investigação. Assim, este registro confirma uma violação real e comunicada, sem apresentar o roubo de dados como algo certo. O HIPAA Journal também relata o mesmo intervalo identificado pela análise forense e a possível obtenção de informações.

A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas. A MCBS detectou atividade não autorizada por volta de 25 de setembro, conteve o incidente e iniciou uma investigação; o período de acesso terminou em 26 de setembro. A data de detecção não substitui a data anterior de início.

A empresa analisou manualmente os arquivos potencialmente afetados e concluiu, em 28 de maio de 2026, que eles podem ter contido informações pessoais e de saúde. O incidente foi comunicado ao HHS OCR em 26 de junho de 2026 e, posteriormente, apareceu na lista federal com um alcance de 1.261.464 pessoas. A duração da análise reflete o trabalho de relacionar arquivos de diferentes clientes às pessoas e aos campos de dados correspondentes.

Os campos de identificação divulgados foram nomes, endereços físicos, datas de nascimento e números de Social Security. Números de beneficiário de planos de saúde, números de apólices de seguro-saúde ou de identificação do titular, além de outras informações de seguro, também podem ter sido afetados. Quantidades de pessoas, campos de dados e alegações de agentes de ameaça que não foram verificados não são considerados parte do escopo público do incidente.

Números de Social Security e datas de nascimento são identificadores de longa duração, e sua combinação com identificadores de seguro pode aumentar o risco de fraudes na abertura de contas, pedidos fraudulentos de reembolso médico ou phishing direcionado. A empresa afirmou que não tinha evidências de roubo de identidade relacionado ao incidente. A ausência de uso indevido detectado não significa que a exposição não gere riscos futuros.

As categorias de dados médicos eram históricos médicos, condições de saúde mental ou física, informações sobre tratamentos médicos e informações de diagnóstico. Essas categorias podem revelar detalhes sensíveis tanto sobre atendimentos anteriores quanto sobre uma condição de saúde em curso. As fontes não confirmam separadamente resultados de exames laboratoriais, prescrições, imagens ou números de prontuário; por isso, esses campos não são presumidos nem acrescentados.

A MCBS presta serviços de faturamento e gestão para prestadores de atendimento à saúde. Essa função explica por que campos de identificação e de seguro poderiam aparecer no mesmo conjunto de arquivos que as informações clínicas. O HHS classifica a empresa como associada comercial; as entidades cobertas afetadas não são apresentadas como se cada uma tivesse sofrido um ataque separado.

A quantidade de pessoas afetadas ou de registros publicada pela fonte oficial representa o alcance informado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. O comunicado público inicial da MCBS não informou uma quantidade, e a reportagem do HIPAA Journal no início de julho afirmou que o total ainda não era conhecido. O número publicado posteriormente pelo órgão regulador é o dado atual verificado que substitui aquela incerteza anterior neste registro.

A empresa lista C&C MD PC, Nuclear Medicine and Pathology Associates, Radiation Oncology Associates, SkinPath Solutions, South Georgia Radiology Consultants, Stephen W. Brown & Radiology Associates of Augusta e Vascular Radiology Associates II como entidades cobertas. O total federal não é redistribuído entre elas, contado sete vezes nem dividido em subtotais inventados.

Em seu comunicado público, a MCBS orientou as pessoas a verificar regularmente as movimentações de suas contas financeiras e a considerar um alerta de fraude gratuito com duração de um ano ou um bloqueio de crédito. O HIPAA Journal informou que foram oferecidos às pessoas afetadas 12 meses de monitoramento de crédito e proteção contra roubo de identidade. Se você recebeu uma notificação, siga o procedimento de adesão e confira a cobertura específica indicada na sua carta.

Além dos relatórios de crédito, verifique os demonstrativos do seguro-saúde em busca de serviços, prestadores ou pedidos de cobertura que você não reconheça. Solicitações inesperadas de pagamento ou de verificação de identidade feitas em nome da MCBS ou de um prestador associado devem ser verificadas por um canal oficial conhecido. A LeakData não publica dados pessoais, médicos ou de seguro; documenta apenas metadados verificados do incidente.