PEAR alega 1,4 TB roubado de clínica rural texana — sem resposta

A South Plains Rural Health Services, Inc. é uma organização sem fins lucrativos classificada como Federally Qualified Health Center (FQHC) e FTCA deemed facility, operando clínicas em Levelland, Lamesa e Big Spring, no oeste do Texas. Atende pacientes de todas as faixas de renda — inclusive sem cobertura de seguro — e oferece serviços médicos, odontológicos, de saúde comportamental e OB/GYN. Receita estimada de $6 milhões anuais e aproximadamente 26 funcionários segundo dados de

2026. Este perfil — organização de saúde pública, pequeno porte, potencialmente com recursos de TI limitados — corresponde ao target preferencial documentado de PEAR.

Toda a narrativa do incidente tem como fonte exclusiva o próprio grupo PEAR. O SuspectFile, veículo italiano especializado em cobertura de extorsão cibernética, publicou a reportagem original em 29 de agosto de 2026, e o DataBreaches.net a reproduziu no mesmo dia. Ambos deixam explícito que os dados sobre intrusão, volume exfiltrado e método de ataque partem das declarações do ator e não foram confirmados pela SPRHS. A Vexday não localizou nenhum comunicado da organização vítima, nota em seu site oficial, nem registro no portal público HHS/OCR referente a este episódio.

O PEAR (Pure Extraction And Ransom) opera desde meados de 2025 com modelo de extorsão por dados sem criptografia de arquivos — o que distingue o grupo do ransomware tradicional. Registros de trackers independentes contabilizam até 92 vítimas listadas, com concentração nos EUA (cerca de 90% do portfólio), priorizando organizações de saúde, jurídicas e financeiras de pequeno porte. Em casos anteriores documentados — MCBS Medical Billing (1,26 milhão de indivíduos afetados, confirmado pelo HHS/OCR) e Beaumont Bone & Joint Institute (6,5 TB alegados) — PEAR demonstrou capacidade de exfiltração em escala, mas também foi alvo de questionamentos sobre integridade dos dados publicados: análise do SuspectFile sobre o caso BBJI identificou SSNs em formato inválido dentro do material vazado, o que levanta dúvida metodológica sobre a fidedignidade das amostras publicadas pelo grupo.

O volume alegado de 1,4 TB para a SPRHS é inferior ao registrado em alvos maiores de PEAR, mas está na faixa esperada para uma organização do porte da vítima. O conteúdo descrito — prontuários de pacientes, dados pessoais, documentos administrativos e de RH — é o padrão do grupo em outras vítimas confirmadas. Nada disso, porém, valida a alegação específica: tamanho plausível e padrão consistente não são prova de incidente.

Um fator estrutural merece destaque na avaliação: o portal HHS/OCR acumulou backlog de aproximadamente três meses em 2026, atribuído parcialmente à paralisação federal de 43 dias no final de

2025. Isso significa que, mesmo que a SPRHS já tenha protocolado uma notificação obrigatória, ela pode não aparecer no portal público ainda. A HIPAA permite 60 dias para notificação após descoberta — e a data de descoberta pela vítima, se houve intrusão, é desconhecida. O silêncio público da organização é, neste contexto, esperado e insuficiente como evidência de qualquer direção.

Impacto concreto não pode ser determinado sem confirmação do incidente pela vítima ou por regulador. Se confirmado: pacientes de uma FQHC que atendem populações vulneráveis e de baixa renda no oeste do Texas teriam PHI, dados pessoais e possivelmente informações de saúde comportamental expostos. Funcionários e parceiros comerciais também figuram no escopo alegado. A SPRHS, como entidade FTCA deemed, está sujeita à HIPAA Breach Notification Rule e potencialmente à supervisão federal adicional por operar com financiamento HHS. Qualquer confirmação de breach que afete 500 ou mais indivíduos exigiria notificação pública obrigatória ao HHS/OCR e aos afetados.