Violação de dados do Northwoods Surgery Center em 2025

A fonte principal é o PDF da Notificação de incidente de segurança de dados, datado de 7 de novembro de 2025 e publicado no próprio site do Northwoods Surgery Center. O documento descreve diretamente a data da descoberta, o possível período de acesso, a investigação com especialistas externos, os possíveis campos de dados de saúde presentes nos arquivos, as melhorias de segurança e os serviços de proteção.

O registro do HHS OCR classifica a organização como um prestador de serviços de saúde de Minnesota e informa um total de 5.385 pessoas, a data de envio de 29 de abril de 2026, um servidor de rede como local do incidente e a classificação de invasão/incidente de TI. O Claim Depot apresenta a cronologia oficial e as categorias de informações junto ao registro federal, permitindo a verificação pública do incidente.

O Northwoods tomou conhecimento de uma atividade não autorizada na rede por volta de 8 de setembro de 2025 e agiu imediatamente para proteger a rede e impedir novos acessos. Uma investigação conduzida com especialistas externos constatou que uma quantidade limitada de informações pode ter sido acessada por uma parte não autorizada entre 11 de julho e 8 de setembro.

O comunicado oficial informa que a análise ainda estava em andamento quando foi publicado e que não era possível descartar o acesso às informações. A fonte não afirma que os arquivos foram comprovadamente copiados ou exfiltrados e não identifica o invasor nem o método de acesso inicial. Números de pessoas, campos de dados e alegações de agentes de ameaça que não tenham sido verificados não são considerados parte do escopo público do incidente.

Os possíveis campos incluem nomes de pacientes, endereços, datas de nascimento, informações de seguro de saúde e números de prontuário médico. Essa combinação pode gerar riscos de phishing direcionado, fraude de seguro e uso da identidade de outra pessoa em serviços de saúde. O texto oficial informa que os arquivos podem ter contido informações de saúde protegidas (PHI) de um número limitado de pacientes.

O total de 5.385 pessoas informado pelo HHS não significa que todas as categorias de informações se aplicavam a todas as pessoas. As combinações podem variar, e o número de arquivos não foi divulgado.

A lista oficial inclui nome do médico, tipo de prática médica, data do atendimento, informações sobre medicamentos, informações de diagnóstico e tratamento e informações sobre solicitações de cobertura médica ou faturamento. Esses campos podem vincular um paciente a um determinado prestador, procedimento e histórico de cuidados, sendo sensíveis do ponto de vista da privacidade dos dados de saúde.

O comunicado não afirma que todo o sistema de prontuários eletrônicos ou os prontuários completos dos pacientes foram afetados. O tipo de prática médica e a data do atendimento não comprovam uma cirurgia específica, uma anotação clínica detalhada ou um resultado de exame de imagem.

O Northwoods protegeu a rede, interrompeu o acesso e contratou especialistas externos para uma análise forense. A organização afirma que trabalhou com especialistas para avaliar e reforçar as medidas de segurança existentes em toda a sua rede e em suas instalações. Na data do comunicado, não havia evidências de uso indevido das informações para fins de fraude, nem de tentativas desse tipo.

Foram oferecidos serviços de monitoramento de crédito e proteção de identidade às pessoas potencialmente afetadas. Foi divulgada uma linha de atendimento em dias úteis, pelo número 1-833-833-6099, para fornecer informações sobre o incidente e apoio à adesão aos serviços. Como o comunicado público não informa a duração dos serviços, o LeakData não inventa um prazo nem um pacote de serviços de um fornecedor.

Os pacientes devem conferir os demonstrativos de benefícios do seguro de saúde, as contas médicas, os históricos de prescrições e os portais do paciente para identificar serviços ou solicitações de cobertura que não reconheçam. Se aparecer um médico, uma data de atendimento, um medicamento, um diagnóstico, um tratamento ou uma cobrança que você não reconheça, o prestador responsável e a seguradora devem ser avisados por um canal verificado.

Não compartilhe datas de nascimento, detalhes do seguro ou números de prontuário médico em e-mails, mensagens de texto ou ligações inesperadas de quem afirma representar o Northwoods; use apenas a linha de atendimento indicada no comunicado oficial. Se surgir uma mensagem suspeita ou uma atividade suspeita na conta, verifique a situação pelo canal de contato oficial atual da organização, sem usar os links da mensagem. Quando houver uma carta de notificação individual disponível, ela será a fonte principal para saber quais dados daquela pessoa estão envolvidos e quais opções de proteção foram oferecidas. As datas e as categorias de dados devem ser interpretadas apenas na medida em que as fontes públicas lhes deem respaldo; detalhes não divulgados não devem ser tratados como confirmados.