Violação de dados da Mid Michigan Medical Billing Service em 2025

A fonte primária é o aviso de incidente de segurança cibernética da MMMBS, datado de 2 de janeiro de 2026. Ele confirma o acesso à rede em 27 de março de 2025, a cópia e a possível visualização de arquivos, a conclusão da revisão dos dados por volta de 2 de dezembro de 2025, as categorias afetadas, a notificação às autoridades federais de aplicação da lei e aos órgãos reguladores, além do telefone de atendimento 833-303-3875.

A segunda fonte é o registro oficial do HHS/OCR, datado de 5 de janeiro de 2026, que lista 28.185 pessoas, associado comercial, incidente de invasão/TI e servidor de rede. O fonte pública sobre vazamentos de dados mantém uma cópia do documento e um link para o HHS depois que a página da empresa passou a retornar o erro 404. Suas alegações secundárias sobre os responsáveis pelo ataque e o resgate não foram incluídas, pois não constam do aviso da empresa.

A MMMBS tomou conhecimento de uma atividade suspeita em sua rede de TI, tirou os sistemas do ar e iniciou uma investigação. A investigação constatou que uma pessoa desconhecida entrou na rede em 27 de março e que arquivos foram copiados e possivelmente visualizados. A empresa realizou uma revisão detalhada para identificar as informações e as pessoas associadas aos arquivos acessados.

A revisão dos dados foi concluída por volta de 2 de dezembro de 2025. A MMMBS notificou os parceiros comerciais envolvidos e trabalhou com eles para avisar as pessoas potencialmente afetadas. O documento público não informa o método de acesso inicial, a conta ou vulnerabilidade utilizada, a duração exata do acesso nem a identidade do responsável pelo ataque.

Os campos, que variavam conforme a pessoa e o cliente da MMMBS, incluíam nomes, datas de nascimento, números de carteira de habilitação ou de documentos de identificação emitidos pelo governo, números de passaporte, números de identificação de empregadores e dados biométricos. Números de cartões de pagamento também estavam envolvidos. Números de Seguro Social estavam presentes apenas em circunstâncias limitadas.

Os campos de identidade e financeiros podem aumentar os riscos de uso indevido da identidade, abertura de contas indevidas, uso indevido em pagamentos e phishing direcionado. “Dados biométricos” aparece como uma categoria ampla no aviso da empresa; este registro não presume um subtipo não informado, como um modelo facial ou uma impressão digital. Quem recebeu o aviso e teve dados de cartão envolvidos pode verificar as transações por um canal conhecido do banco.

Os campos de saúde incluíam números de identificação do Medicare ou Medicaid, informações de diagnóstico e tratamento, números de prontuário médico, números de conta de paciente, informações de seguro-saúde e nomes dos prestadores responsáveis pelo tratamento ou encaminhamento. Essas categorias podem expor informações sobre o faturamento médico e os prestadores envolvidos.

Quem recebeu o aviso pode verificar demonstrativos de benefícios, movimentações nas contas de paciente e de seguro, tratamentos ou prestadores desconhecidos e mensagens inesperadas de cobrança. Mesmo que uma comunicação contenha informações reais de um prontuário médico ou de uma conta, ou o nome verdadeiro de um prestador, ela não é automaticamente legítima; confirme sua autenticidade separadamente por um canal conhecido do serviço de saúde ou da seguradora.

O número de 28.185 corresponde à população afetada informada ao HHS/OCR e é o total público oficial atual. A contagem de pessoas ou registros afetados publicada pela fonte oficial representa o alcance informado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas.

Como a MMMBS é um associado comercial, as informações podem estar relacionadas a vários clientes prestadores de serviços de saúde. Eventuais subtotais futuros por cliente ou estado não devem ser somados novamente ao total nacional do HHS. Mesmo que o mesmo evento apareça em avisos de diferentes prestadores, não é criado um segundo registro duplicado para o incidente central da MMMBS.

A MMMBS afirmou que respondeu à atividade, avaliou e protegeu a rede, notificou as entidades e pessoas envolvidas, revisou as políticas e os procedimentos existentes e reforçou as medidas de segurança. A empresa notificou as autoridades federais de aplicação da lei e os órgãos reguladores. O telefone de atendimento 833-303-3875 está disponível em dias úteis, das 8:00 da manhã às 8:00 da noite, no horário do leste dos Estados Unidos.

Com base nos campos mencionados na sua própria carta, você pode considerar um bloqueio de crédito e um alerta de fraude caso estejam envolvidos um SSN ou documento de identificação emitido pelo governo; a revisão de transações, no caso de um cartão de pagamento; e a revisão de benefícios e prontuários, no caso de informações de saúde. Não forneça sua senha, seu SSN completo ou um código de uso único, nem faça pagamentos em resposta a uma mensagem inesperada que use o nome da MMMBS, de um prestador ou de uma seguradora.