Violação de dados de 2025 da Northwest Radiologists / Mount Baker Imaging

A fonte principal é o registro de violação de dados da Procuradoria-Geral do Estado de Washington e o comunicado aos consumidores anexado a ele, assinado em nome da Northwest Radiologists e da Mount Baker Imaging. O documento oficial confirma diretamente as datas de acesso, a natureza do evento, as categorias de informações, as medidas de proteção e o número de residentes de Washington afetados.

A segunda fonte é o portal de violações de dados do HHS OCR, que classifica a organização como Prestador de Serviços de Saúde e o evento como Incidente de Invasão/IT envolvendo um Servidor de Rede. A terceira é a reportagem da SecurityWeek de 4 de agosto de 2025. Ela descreve de forma independente a cronologia, a abrangência e os tipos de dados, com base no documento apresentado em Washington e nas declarações da organização.

A Northwest Radiologists sofreu uma interrupção na rede que afetou determinados sistemas em 25 de janeiro ou próximo dessa data. Após identificar o problema, a organização protegeu o ambiente, entrou em contato com as autoridades policiais e contratou especialistas externos para determinar a natureza e a abrangência do evento. A investigação forense determinou que o acesso não autorizado começou em 20 de janeiro e continuou até 25 de janeiro.

Em seguida, a organização analisou o conteúdo dos sistemas afetados para identificar as pessoas às quais as informações se referiam e obteve endereços atualizados antes de preparar as notificações. A data do incidente se baseia na primeira atividade técnica que pode ser verificada em fontes públicas.

Os campos variavam de pessoa para pessoa e podem incluir nomes e sobrenomes acompanhados de endereços, números de telefone, endereços de e-mail, datas de nascimento, números do seguro social, números de carteiras de motorista ou de documentos de identificação estaduais, identificação militar, detalhes de tratamentos ou diagnósticos, nomes dos prestadores de serviços de saúde, números de prontuários ou de identificação de pacientes, informações de seguro-saúde e custos de tratamento.

A Procuradoria-Geral do Estado de Washington também inclui informações financeiras e bancárias entre as categorias afetadas. As fontes não afirmam que todos os campos estavam presentes nos dados de cada uma das 362.713 pessoas; por isso, este registro não cria contagens de subgrupos. Ele não acrescenta senhas ou cartões de pagamento não mencionados pelas fontes, não afirma que os dados tenham sido publicados e não atribui o incidente a um grupo de ransomware identificado.

O número de pessoas afetadas ou de registros publicado pela fonte oficial representa a abrangência informada do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas. O documento apresentado à Procuradoria-Geral do Estado de Washington em 10 de julho informa 348.118 residentes de Washington. A diferença de 14.595 corresponde à diferença entre o total federal e o total de um único estado; não há evidências de que as mesmas pessoas tenham sido contadas duas vezes.

A SecurityWeek usou aproximadamente 350.000 residentes de Washington no título de sua reportagem de agosto de 2025, mas informou o número oficial de 348.118 no texto. Assim, o título apresenta uma contagem estadual arredondada. A contagem se refere a pessoas afetadas, não a imagens, exames, arquivos ou elementos individuais de dados.

A Northwest Radiologists afirmou que protegeu seus sistemas, trabalhou com as autoridades policiais e especialistas externos em investigação forense, implementou proteções técnicas adicionais e revisou suas políticas e seus procedimentos de segurança. Foram oferecidos às pessoas afetadas serviços gratuitos de monitoramento de crédito e proteção de identidade; o modelo público de notificação não informa a duração desses serviços.

Na data da notificação, a organização afirmou não ter motivos para acreditar que as informações haviam sido ou seriam usadas indevidamente em decorrência do evento. Essa declaração não invalida o acesso confirmado nem garante que não haverá uso indevido posterior. As fontes não vinculam o incidente a nenhum malware específico, grupo de ransomware ou site de vazamento; por isso, este registro não atribui a autoria a nenhum agente de ameaça.

Quem recebeu a notificação deve ativar o serviço gratuito de proteção dentro do prazo de adesão e verificar regularmente relatórios de crédito, contas bancárias, demonstrativos de benefícios do seguro-saúde e históricos de atendimentos médicos em busca de atividades desconhecidas. Atividades suspeitas devem ser comunicadas por um canal oficial verificado da instituição correspondente.

A possível combinação de números do seguro social, documentos de identidade, informações financeiras e dados de saúde gera um risco duradouro de roubo de identidade e fraudes em serviços de saúde. Os pacientes devem ficar atentos a cobranças ou demonstrativos de seguro desconhecidos, novas contas e links que aleguem ser da Northwest Radiologists ou da Mount Baker Imaging.