A Ericsson Inc., subsidiária americana da empresa sueca de telecomunicações Ericsson, revelou uma violação de dados após invasores comprometerem um de seus provedores externos de serviços que armazenavam informações pessoais de funcionários e clientes.
A empresa informou, em cartas de notificação de violação apresentadas ao Procurador-Geral da Califórnia, que o incidente foi descoberto em 28 de abril de 2025. O provedor de serviço afetado identificou acessos não autorizados em seus sistemas e iniciou uma investigação sobre o incidente.
Segundo Ericsson, o provedor de serviço determinou que um conjunto limitado de arquivos pode ter sido acessado ou adquirido sem autorização entre 17 e 22 de abril de 2025. O provedor denunciou o incidente ao Federal Bureau of Investigation e contratou especialistas externos em cibersegurança para investigar o alcance e o impacto da violação.
A investigação foi concluída em fevereiro de 2026. Durante o processo de revisão, especialistas em dados examinaram os arquivos potencialmente afetados e confirmaram que alguns deles continham informações pessoais pertencentes a indivíduos ligados a Ericsson.
As informações expostas podem incluir nomes, endereços residenciais, números de Seguro Social, números de carteira de motorista e outros números de identificação emitidos pelo governo. A revisão também constatou que dados financeiros como números de conta bancária e números de cartões de crédito ou débito podem estar presentes nos arquivos afetados. Alguns registros também podem conter datas de nascimento e informações médicas.
Ericsson não divulgou o número total de indivíduos afetados. No entanto, um documento junto ao Procurador-Geral do Texas afirmou que 4.377 pessoas no Texas foram afetadas pela violação. O número total de indivíduos afetados em outros estados não foi divulgado publicamente.
A empresa afirmou que o prestador de serviços não identificou evidências de que os dados expostos tenham sido usados indevidamente desde a ocorrência da violação. Ericsson também afirmou que o incidente envolveu acesso não autorizado a arquivos, e não uso confirmado de informações pessoais indevido (Bad Us).
Como parte de sua resposta, a Ericsson está oferecendo serviços de proteção de identidade para indivíduos afetados por meio da IDX. Os serviços incluem monitoramento de crédito, assistência para recuperação de roubo de identidade e monitoramento na dark web. O programa também inclui seguro contra fraude de identidade com cobertura de reembolso de até US$ 1 milhão para perdas qualificadas.
Os serviços de proteção de identidade estão disponíveis para indivíduos afetados que se inscreverem antes de 9 de junho de 2026.
Nenhum grupo de cibercrime reivindicou a responsabilidade pelo ataque. Ericsson disse que não tem mais detalhes além das informações incluídas nas cartas de notificação.