May 2026

Incidente real e confirmado pela própria vítima em filing na SEC: um fornecedor de software da The Oncology Institute sofreu acesso não autorizado que atingiu sistemas com dados de pacientes. Nenhum ator reivindicou, nenhum número de afetados foi divulgado pela TOI, e o fornecedor não foi nomeado — a hipótese dominante na imprensa é a TriZetto Provider Solutions (Cognizant), sustentada pela circunstância de a Kroll administrar ambas as notificações, mas essa atribuição permanece não confirmada oficialmente.

Incidente real e confirmado pela própria vítima: ransomware com dupla extorsão (exfiltração + criptografia) detectado em 04/05/2026, que forçou a West Pharmaceutical a derrubar sistemas globalmente. A empresa restaurou operações e declarou o incidente contido, mas o volume e as categorias de dados roubados permanecem não divulgados, nenhum grupo reivindicou, e a tese de 'pagamento de resgate' repetida pela imprensa é inferência jornalística, não fato apurado. Nosso selo 'confirmed/real' está correto; o campo de identificador interno precisa de ajuste.

Exposição de dados sem invasor: um funcionário do Community Bank (subsidiária da CB Financial Services) inseriu nomes, números de seguro social e datas de nascimento de clientes em um aplicativo de IA não autorizado enquanto montava uma apresentação. Não houve ataque externo nem interrupção operacional. É, com confiança alta, o primeiro 8-K registrado na SEC sob o Item 1.05 que atribui um incidente material a 'IA sombra' (shadow AI). Nosso selo 'confirmed / real' está correto, mas a análise anterior tratava o incidente como constatação genérica de manuseio interno — a evidência apurada revela o vetor específico (upload por dispositivo pessoal) e a alegação da vítima de que os dados não teriam treinado o modelo do fornecedor.