Violação de dados da SOC Day & Zimmermann em 2026

A principal fonte primária é o documento público 2026-1162 apresentado às autoridades de Massachusetts, uma carta intitulada “Aviso de incidente de segurança de dados”. Ela informa diretamente a data de 2 de junho, o acesso limitado a uma conta de e-mail, a ausência de evidências de envolvimento de outros sistemas, a impossibilidade de descartar o acesso aos dados, as medidas de segurança adotadas e os dados de contato da Day & Zimmermann.

O Claim Depot vincula o arquivo oficial ao perfil da SOC e resume o início das notificações em 15 de julho, além das categorias de nome e sobrenome, SSN e registros médicos presentes nos metadados regulatórios. O site oficial da SOC confirma que ela é uma empresa da Day & Zimmermann e usa o domínio soc-usa.com. As fontes são consistentes quanto à identidade da empresa e ao escopo limitado ao e-mail.

A SOC informou que recebeu um alerta sobre atividade suspeita envolvendo acesso não autorizado a uma conta de e-mail da empresa. Ela protegeu a conta imediatamente e conduziu uma investigação forense com sua equipe de cibersegurança. A análise determinou que o evento se restringiu àquela conta e não encontrou evidências de que outras contas corporativas, servidores ou sistemas da empresa tivessem sido afetados.

Os documentos públicos não informam por quanto tempo a conta permaneceu acessível nem se o acesso inicial ocorreu por phishing, reutilização de senha, cookie de sessão ou outro método. Eles não identificam nenhum responsável, malware, exigência de resgate ou alegação de publicação de dados. Informações não verificadas sobre o número de pessoas, os campos de dados e os responsáveis pela ameaça não são consideradas parte do escopo público do incidente.

Os possíveis campos de dados pessoais eram nomes e sobrenomes junto com números do Seguro Social. Registros médicos também aparecem entre as categorias do incidente no registro regulatório. Como as linhas de dados específicos de cada pessoa no modelo de notificação são espaços reservados para preenchimento, não se pode presumir que todos os destinatários tiveram os mesmos campos afetados. A carta enviada a cada pessoa informa o escopo definitivo para ela.

A carta menciona registros bancários, de cartões, de benefícios de saúde, de passaportes e de imigração em orientações gerais de proteção, mas essa lista de recomendações não constitui um inventário confirmado dos dados afetados. O registro permanece limitado às categorias respaldadas pelos metadados regulatórios.

O e-mail corporativo pode conter textos de mensagens, anexos, sequências de respostas e informações de contexto que revelam a relação de uma pessoa com os serviços prestados. Um nome combinado com um SSN gera risco de roubo de identidade e de contas fraudulentas, enquanto o contexto dos registros médicos pode ser usado em golpes relacionados a serviços de saúde ou benefícios. A organização não confirmou que alguma mensagem específica tenha sido efetivamente visualizada.

O fato de o evento se limitar a uma conta restringe sua abrangência, mas não elimina o risco quando o conteúdo é sensível. A mesma pessoa pode aparecer em várias mensagens, e uma única mensagem pode conter informações sobre várias pessoas. Por isso, a quantidade de e-mails ou anexos não pode ser usada como contagem de pessoas. A organização não publicou um total verificável de pessoas afetadas ou de registros. A ausência de uma contagem divulgada não significa que o incidente não teve impacto; significa que as fontes públicas não fornecem um total confiável.

A SOC protegeu a conta afetada, conduziu uma investigação forense com sua equipe de cibersegurança e analisou as informações potencialmente afetadas. Ela reforçou a conscientização e o treinamento dos funcionários em segurança e informou que continuava a avaliar e aprimorar os controles quando apropriado. O envio das cartas de notificação começou em 15 de julho de 2026.

A Day & Zimmermann ofereceu aos residentes de Massachusetts reembolso por 18 meses de monitoramento de crédito com um prestador de sua escolha. Para receber o reembolso, é necessário apresentar comprovantes de adesão e pagamento. A notificação informa o telefone (267) 804-5322 e o e-mail Privacy@dayzim.com para dúvidas e explica como obter relatórios de crédito gratuitos, alertas de fraude e congelamentos de crédito.

Se você recebeu a carta, confira os campos específicos relativos aos seus dados. Se um SSN esteve envolvido, considere congelar o crédito nas três agências de crédito, ativar um alerta de fraude, obter um IRS IP PIN e monitorar seus relatórios de crédito. Se registros médicos estiveram envolvidos, analise os demonstrativos de benefícios, as solicitações de cobertura ao seguro e os registros dos prestadores de serviços de saúde em busca de serviços que você não reconhece.

Criminosos podem usar nomes, funções, projetos ou informações de saúde presentes em uma troca de e-mails para criar mensagens posteriores convincentes. Antes de responder, verifique de forma independente o remetente e a solicitação por um canal oficial de soc-usa.com ou dayzim.com. Não forneça uma senha, seu SSN completo ou um código de uso único apenas porque alguém conhece um detalhe de uma conversa real.