Violação de dados da Unlimited Technology Systems em 2025

A principal evidência é a carta da Unlimited Technology Systems aos consumidores, publicada em documentação protocolada na Procuradoria-Geral de Iowa. Em nome da empresa, a carta explica diretamente a descoberta, o período de 5 a 10 de outubro em que as cópias podem ter sido obtidas, a resposta das autoridades policiais e dos especialistas em perícia digital, as categorias de informações confirmadas, os dados expressamente excluídos, os dois anos de serviços da Kroll e a linha de atendimento.

Um registro da Procuradoria-Geral da Califórnia constitui outra fonte oficial que documenta a notificação. O registro BR-0005193 da Procuradoria-Geral do Texas informa que 3.836.316 pessoas foram afetadas em todo o país, incluindo 277.364 residentes do Texas. As 148.342 pessoas informadas na Carolina do Sul e as 2.223 em Massachusetts são parcelas estaduais desse total nacional.

A Unlimited descobriu uma atividade não autorizada em seu data center comercial em 19 de outubro. A empresa contratou uma empresa de referência em perícia de segurança cibernética, notificou as autoridades policiais e analisou os dados envolvidos. A investigação concluiu que um agente não autorizado pode ter obtido uma cópia de algumas informações pessoais entre 5 e 10 de outubro.

A carta pública não identifica o vetor de acesso inicial, o agente, o malware, uma exigência de resgate ou a divulgação dos dados. A expressão “pode ter obtido uma cópia” confirma a possibilidade de extração, mas não comprova que todos os campos tenham sido copiados para todas as pessoas. Como a Unlimited processa informações para prestadores de serviços de saúde, algumas pessoas podem ter sido afetadas mesmo sem ter uma relação direta com a empresa.

Dependendo da pessoa, os dados poderiam incluir nomes, números do Seguro Social, datas de nascimento, endereços de e-mail, endereços físicos, números de telefone e outras informações demográficas. Os documentos digitalizados poderiam incluir carteiras de motorista ou outros documentos de identificação emitidos pelo governo, cartões de seguro e fichas de admissão de pacientes. Não se deve presumir que todos os campos estavam presentes para todas as pessoas; as cartas individuais definem o escopo específico.

A combinação de SSN, data de nascimento, dados de contato e imagens de documentos de identificação cria uma exposição duradoura ao risco de fraudes de crédito, uso indevido de identidade para fins tributários, falsidade de identidade por meio de documentos e engenharia social direcionada. Quem recebeu a notificação deve considerar o congelamento de crédito, um alerta de fraude e o IRS Identity Protection PIN, e não deve fornecer imagens de documentos de identificação, senhas ou códigos de verificação em mensagens que aleguem ser de um prestador de serviços de saúde ou da Unlimited.

As informações de seguro de saúde e de saldos de contas de pacientes poderiam incluir números de apólices de seguro, informações sobre solicitações de cobertura ou benefícios e saldos de contas de pacientes. As informações médicas incluíam números de prontuários médicos, datas de atendimento e diagnósticos. Cartões de seguro e fichas de admissão também foram listados entre os documentos digitalizados. Esses campos podem facilitar o uso indevido de identidade médica, solicitações fraudulentas de cobertura ou golpes que se valem de informações reais sobre os cuidados de saúde recebidos.

As pessoas afetadas devem revisar os demonstrativos de benefícios, os portais de pacientes e as contas mantidas junto aos prestadores de serviços de saúde para identificar serviços, diagnósticos, solicitações de cobertura, saldos ou alterações de contato que não reconheçam. Registros suspeitos devem ser verificados diretamente com o prestador e a seguradora. Como a Unlimited atende a vários clientes do setor de saúde, quem recebeu a notificação e não reconhece a empresa fornecedora deve verificar, por um canal oficial, o vínculo com o prestador de serviços de saúde indicado no aviso.

A carta oficial aos consumidores afirma expressamente que os dados do incidente não incluíam prontuários médicos completos dos pacientes nem imagens de exames médicos. Ela também exclui informações financeiras, como dados de cartões de crédito e contas bancárias. As informações sobre saldos de contas de pacientes não contradizem essa exclusão: pode haver informações sobre uma dívida ou um saldo sem que estejam presentes os dados de cartões e contas bancárias.

Orientações gerais para monitorar extratos bancários e faturas de cartões não comprovam que esses campos tenham sido expostos. Acrescentar indevidamente dados que a fonte excluiu distorceria tanto a avaliação de risco dos usuários quanto a precisão dos resultados de busca.

O registro BR-0005193 da Procuradoria-Geral do Texas publica um total nacional exato de 3.836.316 pessoas afetadas, incluindo 277.364 residentes do Texas. As 148.342 pessoas na Carolina do Sul e as 2.223 em Massachusetts são parcelas desse total e não foram somadas novamente ao número nacional.

A Unlimited reforçou a segurança, investigou o incidente com especialistas em perícia digital, notificou as autoridades policiais e ofereceu às pessoas elegíveis dois anos de monitoramento de identidade da Kroll. O pacote inclui monitoramento de crédito em um único birô de crédito, consultoria sobre fraudes e restauração de identidade em casos de roubo de identidade. Dúvidas podem ser encaminhadas pelo telefone 844-576-3063 em dias úteis, das 9 da manhã às 6:30 da tarde, no horário do leste dos EUA (ET).