PEAR extrai 3,3 TB da MCBS — 1,26 mi confirmados pelo HHS
A MCBS, empresa de faturamento médico sediada em Augusta (GA), confirmou ao HHS que 1.261.464 pessoas tiveram dados de saúde e dados pessoais expostos em uma intrusão ocorrida em setembro de 2025 e reivindicada pelo grupo PEAR. O incidente é real e confirmado pela própria empresa e pelo portal de notificações do HHS; o número de registros do ator (volume de 3,3 TB alegado) não tem correspondência direta com um contador de registros, mas o impacto declarado pela vítima é a referência válida.
Juízos analíticos
Cada avaliação vem com seu nível de confiança declarado, conforme a prática de inteligência (ICD 203 / FIRST). Confiança alta não é certeza; confiança baixa não é chute — é o peso que a evidência disponível sustenta.
O incidente é real e confirmado: a MCBS notificou o HHS, o Procurador-Geral da Califórnia e enviou cartas individuais aos afetados — três canais independentes convergem para o mesmo fato.
A atribuição ao PEAR é plausível e corroborada por inteligência de terceiros (At-Bay, Halcyon, RedPiranha), mas a MCBS não confirmou o nome do ator em seu aviso público — a atribuição repousa na autoproclamação do grupo em seu site de vazamento.
O vetor de acesso inicial mais provável é comprometimento de credenciais VPN, consistente com o tradecraft documentado do PEAR por At-Bay; não há confirmação forense específica para este incidente.
A demora de mais de oito meses entre a descoberta (25/09/2025) e a conclusão da revisão forense (28/05/2026) e notificação individual (26/06/2026) expõe a MCBS a risco regulatório substancial sob a HIPAA Breach Notification Rule, que exige notificação em até 60 dias após a descoberta.
O dado publicado online pelo PEAR não foi validado por nenhum veículo com acesso independente — BleepingComputer declarou explicitamente que não examinou o cache; a autenticidade do material vazado não pode ser afirmada.
O modelo operacional do PEAR (exfiltração sem criptografia, usando ferramentas legítimas de gerenciamento remoto como AteraAgent e Splashtop) reduz a janela de detecção por EDR baseado em comportamento de criptografia, tornando o controle de saída de dados o principal ponto de falha defensiva neste tipo de ataque.
Análise
A MCBS é uma empresa regional de faturamento e gestão de práticas médicas fundada em 1981, sediada em Augusta, Geórgia. Opera como 'business associate' sob a HIPAA, processando registros de pacientes de múltiplos prestadores de saúde — estrutura que transforma um único incidente em cascata de impacto para dezenas de organizações clínicas downstream. O HHS registra o caso como o sétimo maior vazamento de dados de saúde notificado em 2026, e o quinto maior dentre os 155 incidentes envolvendo 'business associates' neste ano.
O ator responsável identificado é o PEAR (Pure Extraction and Ransom), grupo emergente que opera desde junho de 2025 com um modelo de extorsão centrado exclusivamente em roubo e publicação de dados — sem criptografia de sistemas. Segundo pesquisa da At-Bay, o acesso inicial típico do PEAR ocorre via credenciais VPN comprometidas; na rede da vítima, o grupo emprega ferramentas legítimas de administração remota (AteraAgent, Splashtop), utilitários de dumping de credenciais e aplicações de transferência de arquivo como RClone e WinSCP para exfiltração. A ausência de criptografia é um diferencial tático: reduz o sinal de alerta para EDR configurados para detectar comportamento de ransomware convencional, enquanto mantém a alavancagem de extorsão via ameaça de publicação.
Um ponto que a cobertura dominante subestima: a MCBS não confirmou o nome do ator em seu aviso público. A atribuição ao PEAR repousa inteiramente na autoproclamação do grupo em seu site Tor e na corroboração por fontes de inteligência de terceiros (At-Bay, Halcyon, RedPiranha, ransomware.live). BleepingComputer explicitamente declarou não ter examinado o cache publicado e não poder validar sua autenticidade. Isso não invalida a atribuição — é o cenário padrão para este tipo de ator —, mas significa que o volume de 3,3 TB alegado pelo PEAR é reivindicação não verificada de forma independente.
A distância temporal entre o incidente e a notificação é o elemento mais problemático do caso sob perspectiva regulatória. A HIPAA Breach Notification Rule (45 CFR §164.404) exige notificação individual em até 60 dias após a descoberta da violação. A MCBS detectou atividade suspeita em 25 de setembro de 2025 e apenas concluiu a revisão forense em 28 de maio de 2026 — mais de oito meses depois. Mesmo que a empresa argumente que a 'descoberta' formal sob HIPAA ocorreu apenas em 28 de maio (quando determinou quais arquivos foram comprometidos), o prazo de 60 dias a partir desta data expiraria em 27 de julho de 2026, tornando o envio das notificações em 26 de junho marginalmente dentro do prazo — mas a argumentação sobre quando exatamente conta como 'descoberta' é exatamente o tipo de questão que o OCR do HHS tende a investigar. O PEAR havia listado a MCBS em seu site de vazamento em 30 de setembro de 2025, ou seja, o público em geral tinha acesso à reivindicação por quase nove meses antes de os afetados receberem notificação formal.
Sete organizações de saúde tiveram dados de pacientes comprometidos como clientes da MCBS, entre elas Stephen W. Brown & Radiology Associates of Augusta, South Georgia Radiology Consultants e SkinPath Solutions. O impacto geográfico inclui pelo menos 295.625 indivíduos na Carolina do Sul, 13.302 no Texas, 385 em Massachusetts e 135 em New Hampshire — refletindo a dispersão geográfica da base de clientes da MCBS. Ao menos duas ações coletivas federais foram protocoladas (Neff v. MCBS LLC e McCollum v. MCBS LLC), e a MCBS moveu para rejeitá-las, argumentando insuficiência de dano demonstrado pelos autores.
Cronologia
- 22 set 2025Início do período de acesso não autorizado à rede da MCBS, conforme apurado pela investigação forense posterior.
- 25 set 2025MCBS detecta atividade suspeita na rede e inicia investigação com apoio de especialistas externos em cibersegurança.
- 26 set 2025Fim do período de acesso não autorizado confirmado pela investigação forense.
- 30 set 2025PEAR publica reivindicação da intrusão em seu site de vazamento na rede Tor, alegando exfiltração de 3,3 TB de dados da MCBS — nove meses antes de qualquer notificação formal aos afetados.
- 09 out 2025Proposta de ação coletiva federal Neff v. MCBS LLC (1:25-cv-00235) protocolada no Tribunal do Distrito Sul da Geórgia.
- 14 out 2025Segunda proposta de ação coletiva federal McCollum v. MCBS LLC (1:25-cv-00240) protocolada, ambas alegando práticas negligentes de segurança cibernética.
- 28 mai 2026MCBS conclui a revisão forense e determina quais arquivos com informações pessoais foram potencialmente adquiridos de forma não autorizada.
- 26 jun 2026MCBS notifica o Procurador-Geral da Califórnia e inicia o envio de cartas de notificação individual aos afetados.
- 27 jul 2026SecurityWeek e HIPAA Journal publicam cobertura detalhada do incidente com o número total de afetados reportado ao HHS.
- 28 jul 2026BleepingComputer e BankInfoSecurity publicam reportagens com a cifra de 1.261.464 afetados e detalham a reivindicação do PEAR de 3,3 TB exfiltrados.
Dados envolvidos
Impacto
1.261.464 pessoas tiveram dados de saúde e pessoais expostos, incluindo nomes, endereços, datas de nascimento, números de Seguro Social (SSN), histórico médico, diagnósticos, informações de tratamento, condições mentais/físicas, números de apólice e de beneficiário de planos de saúde. O perfil de dados exposto é particularmente sensível: a combinação de SSN com PHI detalhado habilita fraude de identidade médica, que é mais difícil de detectar e reverter do que fraude financeira convencional. Pelo menos sete prestadores de saúde regionais tiveram pacientes afetados. A MCBS ofereceu monitoramento de identidade gratuito aos afetados, mas não divulgou o provedor nem a duração da cobertura nos avisos públicos. Duas ações coletivas federais estão em andamento. Não há evidência confirmada de uso indevido dos dados até o momento da publicação deste relatório.
Elos técnicos
Recomendações
- Organizações que contratam business associates sob HIPAA devem auditar os Business Associate Agreements (BAAs) vigentes para verificar se os prazos de notificação de incidentes estão contratualmente definidos e se são mais curtos que os 60 dias da regra — o padrão legal é o mínimo, não o alvo.
- Reconfigurar regras de NDR e SIEM para detectar transferências de volume anômalo para destinos externos (especialmente armazenamento em nuvem, Tor egress e IPs desconhecidos), priorizando detecção de exfiltração sobre detecção de criptografia — o modelo PEAR não deixa sinal de ransomware convencional.
- Implementar MFA resistente a phishing (chave de hardware ou passkey) em todos os pontos de acesso remoto (VPN, RDP, consoles de gerenciamento) — acesso via credencial comprometida é o vetor primário documentado do PEAR.
- Auditar ferramentas de gerenciamento remoto legítimas (RMM) presentes no ambiente (AteraAgent, Splashtop, TeamViewer, ConnectWise etc.) e aplicar allowlisting estrito — o PEAR utiliza estas ferramentas para movimentação lateral e persistência sem instalar malware customizado.
- Prestadores de saúde que usaram ou usam serviços da MCBS devem verificar proativamente com a empresa se seus pacientes estão entre os 1.261.464 afetados, sem aguardar contato da MCBS — a obrigação de notificação ao OCR não pode ser delegada ao business associate.
- Monitorar ferramentas de transferência de arquivo (RClone, WinSCP, FileZilla) em endpoints e servidores — sua presença não autorizada ou uso fora do horário comercial é indicador de comportamento de exfiltração compatível com o tradecraft do PEAR.
Lacunas de inteligência
O que ainda não sabemos. Um relatório que não declara seus buracos está vendendo, não analisando.
Vetor de acesso inicial não confirmado pela MCBS nem pela investigação forense publicada — uma declaração de OCR ou um relatório forense independente resolveria esta lacuna.
Autenticidade do cache de 3,3 TB publicado pelo PEAR não validada por nenhuma fonte independente — análise técnica por pesquisadores com acesso ao material resolveria.
A MCBS não confirmou publicamente o nome do ator responsável — uma resposta a pedidos de comentário ou divulgação regulatória pode mudar isso.
Lista completa dos sete prestadores de saúde afetados não foi divulgada integralmente em todas as fontes consultadas — a notificação completa ao HHS/OCR pode conter esta informação.
Status atual das ações coletivas (Neff e McCollum) e da posição do OCR/HHS sobre a tempestividade da notificação não foram resolvidos até a data deste relatório — acompanhar docket PACER e publicações do OCR.
Não há confirmação independente de que a MCBS pagou resgate ao PEAR ou se recusou — a publicação dos dados pelo grupo sugere recusa ou impasse, mas não é conclusivo.
Fontes e avaliação
Notação Admiralty (padrão NATO, usado por CERT-EU e OpenCTI): a letra avalia a confiabilidade da FONTE (A completamente confiável a F não avaliada); o número avalia a credibilidade da INFORMAÇÃO (1 confirmada a 6 não julgável). As duas dimensões são avaliadas de forma independente — fonte boa não torna informação frágil confiável.