Violação de dados da Saint Pete MRI em 2025

A fonte principal é o PDF oficial da Saint Pete MRI intitulado “Aviso substitutivo”, datado de 22 de julho de 2026 e com link direto na página inicial da organização. O documento explica a data da descoberta, as medidas de segurança adotadas nos sistemas, a conclusão da perícia, as datas da análise dos arquivos e da verificação dos dados de contato, as categorias de dados, a avaliação de uso indevido, a notificação ao HHS e a central de atendimento.

Um documento de notificação a consumidores de Massachusetts fornece um registro estadual oficial separado sobre a organização. O Claim Depot relaciona o PDF da organização ao registro regulatório e informa que 107 pessoas foram notificadas em Massachusetts e nove em Vermont. Esses números correspondem a grupos de pessoas nesses estados, não a um total nacional. As fontes são consistentes quanto à natureza do evento, à cronologia e às principais categorias de informações de identidade e saúde.

Após detectar atividade suspeita na rede, a Saint Pete MRI tomou medidas para proteger seus sistemas internos e contratou especialistas independentes em perícia digital para determinar o que havia ocorrido e quais dados poderiam ter sido afetados. Os especialistas confirmaram que os sistemas eletrônicos de atendimento a pacientes e de diagnóstico por imagem da organização não foram acessados. No entanto, constataram que determinados dados digitalizados podem ter sido obtidos sem autorização.

O aviso público não identifica o meio de acesso inicial, o responsável, o malware, os horários exatos de início e término, uma exigência de resgate ou a publicação de dados na internet. A conclusão de que os dados “podem ter sido obtidos” justifica levar a sério a possibilidade de extração, mas não comprova que todos os documentos digitalizados foram copiados ou que os mesmos campos estavam presentes para todas as pessoas.

Após a investigação técnica inicial, uma equipe independente realizou uma análise abrangente e demorada para identificar informações pessoais nos arquivos digitalizados. Esse trabalho concluiu, em 7 de abril de 2026, que determinadas informações pessoais poderiam estar contidas nos dados afetados. A Saint Pete MRI então verificou a identidade das pessoas potencialmente afetadas, reuniu dados de contato e avaliou a abrangência das informações.

A verificação de identidade e de dados de contato foi concluída em 15 de julho de 2026, cerca de dezessete meses após a descoberta. Em 22 de julho, a organização enviou cartas pelo serviço U.S. First-Class Mail às pessoas cujos endereços estavam disponíveis e publicou um aviso substitutivo para aquelas com quem não conseguiu entrar em contato.

Segundo o aviso oficial, os dados poderiam conter nomes, números de Seguro Social, datas de nascimento, números de carteira de motorista ou de documento de identificação estadual. Essa combinação traz riscos de longo prazo de fraudes de crédito, uso indevido da identidade para fins fiscais, falsidade de identidade com uso de documentos governamentais e engenharia social direcionada. Não se deve presumir que todos os campos foram afetados para todas as pessoas.

Quem recebeu a notificação deve analisar seus relatórios de crédito em busca de contas ou consultas que não reconheça e considerar bloqueios gratuitos ou a inclusão de um alerta de fraude nas três principais agências de crédito. Quando um SSN estiver envolvido, um PIN de proteção de identidade do IRS pode oferecer uma proteção adicional. Não forneça SSNs, imagens de documentos de identidade, senhas nem códigos de uso único em resposta a mensagens inesperadas que aleguem ser da Saint Pete MRI, de uma seguradora ou de um órgão governamental.

Os dados digitalizados poderiam conter informações médicas e de seguro-saúde. Essas categorias podem vincular uma pessoa a um centro de diagnóstico por imagem, laboratório do sono ou outra relação de atendimento e podem facilitar fraudes de identidade médica. A conclusão da perícia de que os sistemas eletrônicos de atendimento a pacientes e de diagnóstico por imagem não foram acessados é importante: não se deve ampliar o escopo do evento para incluir todo o conteúdo desses sistemas.

O PDF oficial não confirma separadamente diagnósticos, tratamentos, imagens, resultados de exames, prescrições, números de prontuário, números de apólice ou números de beneficiário. O LeakData mantém as categorias de informações médicas e de seguro no nível de abrangência divulgado. As pessoas devem analisar os portais de pacientes e os demonstrativos de benefícios do plano de saúde em busca de serviços, exames de imagem, prestadores ou alterações de contato que não reconheçam e verificar os registros suspeitos diretamente com as instituições.

Os 107 residentes de Massachusetts e os nove residentes de Vermont correspondem a grupos de pessoas notificadas nesses estados. A Saint Pete MRI afirmou que, no momento da notificação, não tinha evidências de uso indevido ou de tentativa de uso indevido das informações.

A organização protegeu seus sistemas, recorreu a equipes independentes para a análise técnica e documental, enviou notificações pelo correio, publicou um aviso substitutivo e notificou o Escritório de Direitos Civis do HHS. Sua central de atendimento, no número 1-877-396-3217, está disponível de segunda a sexta-feira, das 9 da manhã às 9 da noite, no horário ET. A avaliação de que não havia evidências, limitada àquele momento, não elimina riscos futuros.