A empresa norte-americana de gestão e faturação médica MCBS (Medical Computer Business Services) confirmou uma violação de dados que expôs informação pessoal e clínica sensível de mais de 1,2 milhões de pessoas, na sequência de um ataque ocorrido em setembro de 2025. O grupo de ransomware PEAR reivindicou a autoria, alegando ter exfiltrado mais de 3 terabytes de ficheiros. O caso chama a atenção pela dimensão, pelo tipo de dados clínicos envolvidos e sobretudo pelo intervalo de vários meses entre a deteção da intrusão e a notificação das vítimas.
Resposta rápida: A MCBS, uma empresa de faturação médica sediada em Augusta (Geórgia, EUA), sofreu uma intrusão entre 22 e 26 de setembro de 2025 que expôs dados de mais de 1,2 milhões de pessoas, incluindo nomes, números de segurança social e informação clínica. O grupo de ransomware PEAR reclamou o ataque e a exfiltração de mais de 3 TB. A empresa só concluiu a análise em maio de 2026 e notificou os afetados em junho, mais de oito meses após a descoberta. Se recebeu uma carta de notificação, ative a monitorização de crédito gratuita e vigie extratos médicos e financeiros.
O que aconteceu
A MCBS é uma empresa de revenue cycle management — gestão do ciclo de receita — que presta serviços de faturação, codificação médica, processamento de reclamações e gestão de contas a receber a prestadores de cuidados de saúde. Sediada em Augusta, Geórgia, ajuda hospitais e consultórios médicos a gerir reclamações de seguros, pagamentos e reembolsos. Por operar como fornecedor terceiro, guarda enormes volumes de dados de doentes que não são seus clientes diretos, mas sim dos prestadores que a contratam.
Segundo o aviso de violação, a MCBS soube por volta de 25 de setembro de 2025 que um indivíduo não autorizado poderá ter acedido à sua rede, tendo o acesso ocorrido entre aproximadamente 22 e 26 de setembro de 2025. A empresa afirma ter iniciado de imediato uma investigação com o apoio de peritos externos de cibersegurança.
O ponto mais criticado do caso é a demora. Após uma extensa investigação forense e revisão documental, a MCBS afirma que só determinou por volta de 28 de maio de 2026 — mais de oito meses depois do incidente — que ficheiros com informação pessoal poderão ter sido objeto de aquisição não autorizada. A empresa concluiu a revisão dos ficheiros afetados a 28 de maio de 2026 e apresentou a notificação junto do Procurador-Geral da Califórnia a 26 de junho de 2026, enviando cartas aos afetados nessa data ou pouco depois — mais de nove meses após a intrusão ter sido descoberta.
Dimensão e dados expostos
A escala total só se tornou clara com sucessivas comunicações a reguladores estatais e ao portal federal de violações de saúde. As primeiras estimativas apontavam para mais de 300 mil pessoas, mas o número consolidado é muito superior: a MCBS divulgou uma violação que afeta 1 261 464 indivíduos. A empresa indicou que dados de sete organizações de saúde foram comprometidos no ataque.
Quanto às categorias de dados, o risco é elevado por incluir informação clínica. A investigação identificou que a informação afetada poderá incluir nomes completos, números de segurança social, datas de nascimento, números de beneficiário de planos de saúde, números de apólice ou de subscritor de seguros de saúde, outros detalhes de seguros, historial clínico, informação sobre condição física ou mental e dados de tratamento ou diagnóstico médico.
Os números por estado, comunicados aos respetivos reguladores, ajudam a perceber a distribuição. A MCBS notificou 295 625 pessoas na Carolina do Sul, 13 302 no Texas e 382 no Massachusetts, não incluindo estes valores as vítimas no seu estado de origem, a Geórgia. Estados adicionais, como o New Hampshire, registaram também residentes afetados.
Cronologia do incidente
| Data | Acontecimento |
|---|---|
| 22–26 set. 2025 | Período de acesso não autorizado à rede da MCBS |
| 25 set. 2025 | MCBS deteta atividade suspeita e inicia investigação |
| ~30 set. 2025 | Grupo PEAR reivindica o ataque e lista a MCBS no seu site de fuga |
| 28 mai. 2026 | MCBS conclui a revisão e determina que ficheiros com dados pessoais foram acedidos |
| 26 jun. 2026 | Notificação ao Procurador-Geral da Califórnia e envio de cartas aos afetados |
O contraste temporal é significativo: o grupo PEAR reivindicou o ataque e listou a MCBS no seu site de fuga de dados por volta de 30 de setembro de 2025 — ou seja, a violação foi publicamente atribuída a um ator de ransomware cerca de nove meses antes de os afetados receberem a notificação formal.
Quem é o grupo PEAR
O PEAR é um ator relativamente recente com um modo de operação distinto. PEAR (Pure Extraction And Ransom) rouba dados e extorque pagamento sem recorrer a cifragem ou malware, estando ativo desde meados de 2025 e visando sobretudo os setores jurídico e de saúde nos EUA. Ou seja, ao contrário do ransomware clássico, não bloqueia ficheiros; concentra-se na exfiltração e na chantagem sobre a divulgação dos dados.
O grupo destaca-se ainda pela forma de definir o resgate. O PEAR utiliza demonstrações de resultados, declarações fiscais e registos de receita roubados para fixar o valor do resgate, e nas comunicações públicas apresenta a extorsão como uma espécie de consultoria corretiva de segurança. A sua atividade tem-se mantido constante: fontes de threat intelligence registam dezenas de vítimas reivindicadas, com predominância de alvos norte-americanos e de organizações de menor dimensão. No caso da MCBS, o PEAR assumiu a autoria a 30 de setembro de 2025 e afirmou, no seu site de fuga, ter roubado 3,3 TB de dados.
Convém sublinhar que as alegações de quantidade de dados exfiltrados partem do próprio grupo criminoso e não estão, por norma, verificadas de forma independente — devem ser lidas com cautela.
Resposta da empresa e medidas para os afetados
A MCBS está a oferecer aos afetados acesso gratuito a serviços de proteção de identidade através de um fornecedor terceiro, com instruções de adesão e duração da cobertura incluídas nas cartas de notificação, e estabeleceu uma linha telefónica gratuita e confidencial com profissionais familiarizados com o incidente. A empresa incentivou ainda os destinatários a vigiar registos médicos, extratos de Explanation of Benefits, contas financeiras e relatórios de crédito.
Para quem recebeu uma notificação (num contexto norte-americano), os passos recomendados são:
- Ativar a monitorização de crédito gratuita dentro do prazo indicado na carta.
- Vigiar extratos de seguros de saúde e registos médicos em busca de tratamentos ou faturas não reconhecidos (indício de roubo de identidade médica).
- Rever contas financeiras e considerar o congelamento do crédito junto das agências de crédito.
- Ativar autenticação multifator e mudar palavras-passe reutilizadas.
- Desconfiar de contactos de phishing que explorem a notícia da violação para obter mais dados.
O caso já gerou consequências legais nos EUA. Seguiram-se pelo menos duas ações coletivas federais propostas: Neff v. McBs LLC e McCollum v. McBs LLC.
Porque é que isto importa em Portugal
Embora seja um incidente norte-americano, o padrão é diretamente relevante para organizações portuguesas e europeias. O ataque explora um fornecedor de serviços (faturação médica) para chegar aos dados de doentes de vários prestadores — um risco clássico de cadeia de fornecimento. Em Portugal, o novo Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 (que transpõe a Diretiva NIS2), reforça precisamente as obrigações de gestão de risco e de comunicação de incidentes, incluindo a atenção às dependências de terceiros e prestadores de serviços TIC. Entidades do setor da saúde e seus fornecedores enquadram-se tipicamente entre os setores abrangidos.
A demora na notificação seria também problemática à luz das regras europeias. O RGPD exige que uma violação de dados pessoais seja comunicada à autoridade de controlo — em Portugal, a Comissão Nacional de Proteção de Dados (CNPD) — sem demora injustificada e, sempre que exequível, até 72 horas após o seu conhecimento, e que os titulares sejam informados quando exista risco elevado para os seus direitos e liberdades. Dados de saúde são categorias especiais, com proteção reforçada. Um intervalo de meses entre a deteção e a informação aos afetados dificilmente seria compatível com estes prazos no espaço europeu.
Para as PME nacionais, sobretudo as que prestam serviços administrativos a organizações de saúde, a lição é dupla: por um lado, a exigência de controlos técnicos robustos (segmentação, MFA, deteção de exfiltração, cópias de segurança testadas); por outro, a necessidade de planos de resposta a incidentes que assegurem notificações atempadas. Em caso de incidente relevante em Portugal, o ponto de contacto nacional é o CNCS/CERT.PT, que apoia a resposta e a coordenação. A ascensão de grupos como o PEAR, que apostam na extorsão por dados em vez da cifragem, confirma que ter backups não chega: é preciso evitar que os dados saiam da organização em primeiro lugar.
Perguntas frequentes
Quantas pessoas foram afetadas pela violação de dados da MCBS?
Mais de 1,2 milhões de pessoas nos EUA, segundo a empresa. Os dados expostos podem incluir nomes completos, números de segurança social, datas de nascimento, informação de seguros de saúde e dados clínicos como diagnósticos e tratamentos.
Porque é que a MCBS demorou tanto tempo a notificar as vítimas?
O acesso não autorizado ocorreu entre 22 e 26 de setembro de 2025, mas a empresa só concluiu a análise da informação afetada em maio de 2026 e notificou os afetados em junho — mais de oito meses depois da deteção da intrusão.
O grupo de ransomware PEAR confirmou o ataque?
Sim, o grupo PEAR reivindicou publicamente a autoria do ataque, alegando ter exfiltrado mais de 3 terabytes de ficheiros da MCBS antes da deteção.
Esta demora seria aceitável ao abrigo das regras europeias?
Não. O RGPD exige que uma violação de dados pessoais seja comunicada à autoridade de controlo, em regra, no prazo de 72 horas após o conhecimento do incidente. Em Portugal, o Regime Jurídico da Cibersegurança, que transpõe a NIS2, impõe ainda prazos de notificação de incidentes significativos ao CNCS.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente por MCBS, reguladores estatais dos EUA (incluindo o Procurador-Geral da Califórnia), o portal de violações do HHS Office for Civil Rights e investigadores de threat intelligence (Comparitech, Halcyon e ransomware.live).