Mais de 1,2 milhão de pessoas foram afetadas por um ataque cibernético que teve como alvo a Medical Computer Business Services (MCBS), segundo informações atualizadas apresentadas ao Departamento de Saúde e Serviços Humanos dos EUA. O documento afirma que 1.261.464 pessoas foram afetadas, fornecendo a primeira estimativa oficial da escala da violação após a empresa divulgar o incidente no mês passado.
A MCBS é uma empresa de faturamento e gestão de consultórios médicos sediada em Augusta, Geórgia. Ela oferece serviços de faturamento, codificação, financeiros e administrativos para organizações de saúde, processando informações dos pacientes em nome dos prestadores de serviços médicos, em vez de fornecer atendimento direto.
De acordo com a notificação de violação da empresa, uma parte não autorizada acessou sua rede entre 22 e 26 de setembro de 2025. O MCBS iniciou uma investigação forense para determinar o que ocorreu e concluiu sua revisão em 28 de maio de 2026.
A investigação constatou que as informações expostas variam de pessoa para pessoa. Dependendo da pessoa afetada, os dados comprometidos podem incluir nomes, endereços residenciais, números do Seguro Social, datas de nascimento, números das apólices de seguro de saúde, identificadores de beneficiários, números de identificação de assinantes, históricos médicos, detalhes de tratamento, informações de diagnóstico e informações relacionadas a condições físicas ou mentais.
A MCBS identificou vários profissionais de saúde cujas informações de pacientes ela gerenciava como sócio de negócios. Essas organizações incluem South Georgia Radiology Consultants, SkinPath Solutions, Stephen W. Brown e Radiology Associates. A empresa afirmou que outras entidades cobertas também podem estar envolvidas com base nos serviços prestados.
A empresa está incentivando indivíduos potencialmente afetados a tomar medidas para reduzir o risco de roubo de identidade. As medidas recomendadas incluem colocar um alerta de fraude nos arquivos de crédito, considerar um congelamento de crédito e monitorar contas para atividades suspeitas. Pacientes que receberam serviços de saúde na Geórgia também são aconselhados a entrar em contato com seu profissional de saúde para determinar se suas informações foram processadas pelo MCBS e se podem ter sido afetados.
Separadamente, o grupo de ransomware PEAR (Pure Extraction and Ransom) assumiu a responsabilidade pela invasão. De acordo com a postagem do grupo em seu site de vazamento de dados, ele supostamente exfiltrou aproximadamente 3,3 terabytes de informações dos sistemas MCBS. O MCBS não confirmou essa alegação, e ela não foi verificada de forma independente.
O grupo de ransomware alega ainda que os arquivos roubados incluem registros de recursos humanos, informações de pagamento, documentos internos de negócios, correspondência por e-mail e bancos de dados da empresa, além das informações dos pacientes. O MCBS confirmou que informações relacionadas ao paciente e à saúde foram expostas, mas não verificou essas alegações adicionais nem revelou como os atacantes tiveram acesso à sua rede.
A empresa não anunciou se foi recebida uma exigência de resgate. Concluiu sua investigação sobre o incidente, enquanto as alegações feitas pelo grupo de ransomware PEAR sobre o alcance dos supostos dados roubados permanecem não verificadas.