Violação de dados da South Florida Injury Centers em 2026

A fonte principal é a carta aos pacientes da South Florida Injury Centers publicada pelo Departamento de Assuntos do Consumidor e Regulamentação Comercial de Massachusetts. Ela descreve diretamente a data da descoberta, o período de acesso, a análise forense, a comunicação às autoridades policiais, as informações pessoais e de saúde possivelmente envolvidas, a proteção de identidade gratuita e as medidas disponíveis aos pacientes.

O registro federal do HHS OCR classifica a SFIC como um prestador de serviços de saúde da Flórida e informa um total de 1.525 pessoas, a data de envio de 22 de maio de 2026, servidores de rede como local do incidente e invasão/TI como tipo de incidente. De forma independente, o Claim Depot relaciona esse mesmo total de pessoas às divulgações regulatórias de Indiana e Massachusetts e às categorias de informações descritas na carta oficial.

A SFIC identificou atividades suspeitas em determinados servidores de sua rede em 23 de março de 2026. A organização protegeu o ambiente, iniciou uma investigação sobre a natureza e o alcance do incidente, contratou especialistas externos em segurança cibernética para realizar uma análise forense dos sistemas afetados e notificou as autoridades policiais. A investigação determinou que o acesso à rede ocorreu entre 21 de fevereiro e 15 de março.

A carta oficial informa que alguns dados de pacientes podem ter sido afetados, mas não afirma que o invasor comprovadamente copiou ou exfiltrou arquivos. As fontes não identificam o invasor, o método de acesso inicial, a vulnerabilidade explorada nem a técnica de persistência. Números de pessoas afetadas, campos de dados e alegações de agentes de ameaça que não foram verificados não são considerados parte do escopo público do incidente.

O comunicado oficial identifica nomes e números de Seguro Social como possíveis dados pessoais envolvidos. A combinação de um nome com um SSN eleva os riscos de roubo de identidade, solicitações fraudulentas de crédito ou relacionadas a impostos e tentativas direcionadas de se passar por outra pessoa. O documento indica que as informações podem variar de pessoa para pessoa; por isso, este registro não pressupõe que a mesma combinação de dados tenha sido envolvida para todos os pacientes.

A oferta de monitoramento de identidade também não comprova, por si só, que dados financeiros não listados tenham sido envolvidos. As categorias de dados permanecem limitadas ao escopo verificado na carta oficial aos pacientes.

As possíveis informações de saúde incluem detalhes de diagnósticos e tratamentos, resultados de exames diagnósticos, como laudos de ressonância magnética (MRI) ou de raios X, registros hospitalares e formulários de admissão que podem conter o histórico médico fornecido pelo paciente. Esses dados podem revelar condições de saúde, lesões e histórico de atendimento, além de aumentar os riscos à privacidade médica e de uso indevido da identidade em serviços de saúde.

A fonte oficial não afirma que toda a plataforma de prontuários eletrônicos ou o prontuário completo de cada paciente tenha sido afetado. “Registros hospitalares” e “formulários de admissão” descrevem documentos específicos abrangidos pelo incidente.

A South Florida Injury Centers protegeu seu ambiente, conduziu uma investigação forense com especialistas externos em segurança cibernética, analisou as informações potencialmente afetadas e notificou as pessoas envolvidas por precaução. A organização informou não ter encontrado evidências de roubo de identidade ou fraude relacionados ao incidente. Essa constatação não elimina a possibilidade de uso indevido no futuro.

Às pessoas afetadas foram oferecidos 24 meses de Iris Identity Protection. O pacote inclui monitoramento de crédito pela Equifax em um único birô de crédito, monitoramento de identidade, seguro contra fraude de identidade e serviços de assistência para resolver problemas de identidade, com adesão em até 90 dias a partir da data da carta. O LeakData não armazena o código promocional específico de cada destinatário, pois ele não é divulgado na fonte pública.

Os pacientes devem verificar relatórios de crédito, movimentações de contas financeiras, demonstrativos de benefícios do seguro de saúde e portais de pacientes em busca de atividades incomuns. Se aparecer uma conta de crédito, um exame de ressonância magnética (MRI), uma radiografia, um registro hospitalar ou um tratamento desconhecido, a organização responsável deve ser contatada por um canal verificado; um alerta de fraude gratuito ou o congelamento do crédito pode ser adequado diante do risco envolvendo o SSN.

SSNs ou informações de saúde não devem ser compartilhados em e-mails, mensagens ou ligações inesperadas de quem afirma representar a SFIC ou a Iris; devem ser usados apenas os canais de assistência indicados na carta individual. Se surgir uma mensagem suspeita ou um evento suspeito na conta, a situação deve ser verificada pelo canal oficial de contato atual da organização, sem usar os links da mensagem.