Violação de dados da TPIS Industrial Services em 2026

A fonte principal é o registro de violação de segurança de dados BR-0005179 da Procuradoria-Geral do Texas. Ele identifica a empresa como TPIS Industrial Services, Inc., com endereço em Pasadena, Texas, e apresenta, em campos separados, o início e o fim da violação, a data de descoberta, o método de notificação, as categorias de dados afetadas, o número de residentes do Texas e o total em todo o país.

A segunda fonte é o resumo do incidente publicado pelo fonte pública sobre vazamentos de dados. Ele informa o número de 2.123 pessoas afetadas no Texas e os campos de dados do registro oficial, além de relatar que o grupo de ransomware PLAY incluiu a TPIS em seu site de vazamentos em 26 de março de 2026. O site oficial da empresa confirma, de forma independente, a identidade da organização, o escritório em Pasadena e sua atuação no setor de serviços industriais. Este registro se baseia no órgão regulador do Texas, e não em uma alegação dos atacantes, para informar o número de pessoas afetadas e os tipos de dados confirmados.

A notificação enviada à Procuradoria-Geral do Texas informa que a violação começou em 19 de março de 2026 e terminou em 20 de março. O registro público diz que o evento foi descoberto em 16 de junho, mas não revela o método de acesso inicial, se o acesso ficou estritamente limitado àqueles dois dias, quais sistemas foram envolvidos ou quando a investigação foi concluída.

Segundo o fonte pública sobre vazamentos de dados, em 26 de março o PLAY alegou ter obtido dados da TPIS e anunciou que pretendia publicá-los. Essa data é seis dias posterior ao período da violação informado no registro do órgão regulador e é temporalmente compatível com o incidente. No entanto, a declaração de um grupo criminoso não equivale a uma constatação pericial independente. Por isso, este registro não conclui que todos os arquivos mencionados na alegação tenham sido obtidos, publicados ou verificados.

As categorias verificadas no registro do Texas são nome, endereço, número de Seguro Social, número de carteira de motorista, informações médicas e informações sobre seguro de saúde de uma pessoa. O documento não assinala datas de nascimento, passaportes, cartões de pagamento, contas bancárias, senhas de e-mail ou contas de usuário como campos afetados, e as alegações mais abrangentes dos atacantes não são acrescentadas à lista oficial.

Um número de Seguro Social e um número de carteira de motorista podem ser usados para se passar por outra pessoa ou tentar abrir novas contas. Dados de endereço, informações médicas e detalhes do seguro também podem fazer com que mensagens de phishing direcionadas pareçam compatíveis com um contexto real de trabalho ou tratamento. Nem todas as pessoas notificadas necessariamente tiveram as seis categorias presentes no material afetado; a carta de notificação individual é a fonte que determina quais dados daquela pessoa foram expostos.

O fonte pública sobre vazamentos de dados relata que a publicação do PLAY na dark web alegava acesso a dados privados e confidenciais, documentos de clientes, orçamentos, informações de folha de pagamento, dados de identificação, registros fiscais e informações financeiras. Essa é uma alegação dos atacantes e não tem o mesmo peso como evidência que os campos publicados pela Procuradoria-Geral do Texas. A ligação com ransomware é, portanto, apresentada como contexto, sem tratar todas as categorias alegadas como confirmadas.

O documento oficial não informa se houve pagamento de resgate, se algum malware criptografou os sistemas, se amostras de dados chegaram a ser divulgadas ou se a empresa se comunicou com os atacantes. As evidências públicas confirmam uma violação real e o envio de notificações aos consumidores pelo correio, mas não descrevem as demais etapas técnicas do ataque. Por isso, os detalhes ausentes não são preenchidos por inferência.

O portal da Procuradoria-Geral do Texas fornece dois números distintos: 2.123 pessoas afetadas no Texas e 2.359 pessoas afetadas em todo o território dos Estados Unidos. Esses valores indicam que pelo menos 236 pessoas afetadas estavam fora do Texas. O número aproximado “2k” no título do fonte pública sobre vazamentos de dados e a cifra de 2.123 se referem ao subconjunto do Texas, não ao total nacional.

Assim, o total exibido é 2.359, extraído do campo oficial denominado “Número total de pessoas afetadas”. A contagem do Texas continua visível na explicação, mas não é somada novamente. Se o órgão regulador alterar seu registro posteriormente, o número de pessoas e as categorias de dados poderão ser revistos; com base nas evidências atuais, 2.359 é o total geral exato publicado.

Se você recebeu uma notificação, confira na carta da TPIS quais campos de dados se aplicam ao seu caso e se há algum prazo de adesão à assistência oferecida. Se um número de Seguro Social ou de carteira de motorista tiver sido envolvido, revise seus relatórios de crédito, considere solicitar um alerta de fraude gratuito ou um congelamento de crédito e monitore a conta governamental vinculada à sua identidade para identificar alterações inesperadas.

Se a sua notificação indicar que informações médicas ou sobre seguro de saúde foram envolvidas, você pode revisar os demonstrativos de benefícios e as contas de serviços de saúde em busca de serviços, prestadores ou pedidos de cobertura que não reconheça. Não forneça senhas, dados de pagamento ou códigos de uso único em resposta a mensagens inesperadas que usem o nome da TPIS, da seguradora ou do prestador de assistência. Encaminhe suas dúvidas por um canal de contato verificado de forma independente na carta ou no site oficial atual da empresa.