Violação de dados da Tri-Century Eye Care em 2025

O documento principal é o “Aviso de incidente de segurança de dados” da organização, datado de 30 de outubro de 2025. O PDF arquivado descreve a descoberta de 3 de setembro, a conclusão sobre o alcance do incidente em 19 de setembro, a obtenção de arquivos por um agente não identificado, os tipos de dados, o sistema EMR atual não afetado, as medidas de proteção adicionais, as notificações ao HHS e ao FBI e a linha de atendimento 1-800-405-6108.

A segunda fonte é o registro oficial do HHS/OCR, datado de 31 de outubro, referente a 200.000 pessoas. A página do incidente no fonte pública sobre vazamentos de dados associa, de forma independente, o mesmo aviso oficial ao total informado pelo órgão federal.

Quando a Tri-Century identificou uma atividade suspeita na rede em 3 de setembro, tomou medidas para proteger o ambiente e iniciou uma investigação com especialistas em segurança cibernética. Em 19 de setembro, as informações disponíveis indicavam que um agente não identificado havia acessado a rede sem autorização e obtido determinados arquivos contendo informações pessoais ou informações de saúde protegidas de funcionários e pacientes.

O aviso oficial não informa os momentos exatos em que o agente iniciou e encerrou o acesso. A data do incidente se baseia na atividade técnica mais antiga que pode ser verificada em fontes públicas. A conclusão sobre o alcance do incidente em 19 de setembro, o aviso público de 30 de outubro e o registro no HHS de 31 de outubro são etapas distintas.

O aviso oficial lista como possíveis campos: nomes, números do Seguro Social, datas de nascimento, informações médicas ou de saúde, informações sobre tratamentos ou diagnósticos, informações de seguro-saúde, informações de cobrança ou pagamento e informações fiscais ou financeiras.

O alcance varia de pessoa para pessoa, e não se deve presumir que todos os campos estavam presentes para todos. Embora a organização afirme que arquivos foram obtidos, isso não comprova que todos os campos estavam em todos os arquivos nem que todas as pessoas foram afetadas por todos os tipos de dados. Amostras mencionadas em alegações do invasor não são usadas para ampliar as categorias de dados identificadas na fonte principal.

A organização afirma especificamente que não havia evidências de acesso ao sistema atual de prontuários médicos eletrônicos. Essa delimitação é importante: a obtenção de determinados arquivos contendo informações de saúde não significa que todo o sistema EMR em uso tenha sido acessado ou que toda a base de dados clínicos tenha sido copiada.

A descrição e as etiquetas do LeakData preservam essa distinção. As informações de saúde, tratamento e diagnóstico são listadas com base na análise oficial dos arquivos, enquanto o “prontuário médico eletrônico” não é incluído como um sistema afetado separadamente. Os destinatários devem consultar suas cartas individuais para entender quais campos estavam associados a eles.

200.000 é o número de pessoas afetadas publicado no portal do HHS/OCR; não é uma contagem de arquivos, documentos ou linhas de dados vazados. O número de pessoas ou registros afetados publicado pela fonte oficial representa o alcance relatado do incidente. Isso não significa que todas as categorias de dados divulgadas se aplicavam a todas as pessoas.

A expressão “200K+” usada em manchetes de fontes secundárias não é acrescentada como outro total. O valor de 200.000 do registro federal atual é mantido como a única contagem oficial de pessoas.

A Tri-Century informou que implementou requisitos de senha mais rigorosos, trocas de senha mais frequentes, redução das permissões de acesso e armazenamento de dados antigos fora da rede. O HHS e o FBI foram notificados. A organização criou a central de atendimento 1-800-405-6108, disponível de segunda a sexta-feira, das 08:00 às 20:00, no horário do leste dos Estados Unidos.

Os destinatários devem revisar regularmente suas contas financeiras, relatórios de crédito e demonstrativos de benefícios do seguro-saúde. Se você não reconhecer um tratamento, uma solicitação ao seguro, uma cobrança ou um pagamento, verifique diretamente com a instituição responsável. Não forneça seu SSN completo, informações de saúde, senha, dados de pagamento ou código de uso único em resposta a comunicações inesperadas de quem afirma representar a Tri-Century. Caso apareça uma mensagem ou atividade suspeita na conta, faça a verificação pelo canal oficial de contato atual da organização, sem usar os links da mensagem. Quando houver uma carta de notificação individual, ela será a fonte principal para saber quais dados daquela pessoa foram envolvidos e quais opções de proteção foram oferecidas. As datas e as categorias de dados devem ser interpretadas apenas na medida em que forem respaldadas por fontes públicas; detalhes não divulgados não devem ser tratados como confirmados.