Brecha de seguridad de AllerVie Health de 2025

La fuente principal es la carta de AllerVie Health dirigida a los consumidores, fechada el 22 de diciembre de 2025. Confirma el descubrimiento del 2 de noviembre, el período de acceso del 24 de octubre al 3 de noviembre, el resultado de la revisión de los datos del 24 de noviembre, el restablecimiento de contraseñas y la notificación a las autoridades policiales, los 24 meses de servicios de Cyberscout y la línea de asistencia 833-877-1419.

La segunda fuente es la entrada oficial del HHS/OCR, fechada el 23 de diciembre de 2025, que registra 80 521 personas afectadas. Los registros de las fiscalías generales de Massachusetts y New Hampshire respaldan de forma independiente la notificación a los consumidores y la inclusión de nombres, números de Seguro Social y números de licencia de conducir o de identificación estatal. Se omite un nombre atribuido al responsable por una fuente secundaria, ya que la notificación del proveedor no lo confirma.

AllerVie descubrió actividad inusual en su red el 2 de noviembre e inició de inmediato una investigación. La revisión determinó que se había accedido sin autorización a una cantidad limitada de información desde el 24 de octubre hasta el 3 de noviembre. El proveedor examinó el contenido para identificar los tipos de información y las personas a las que correspondía, y terminó ese trabajo el 24 de noviembre.

La carta pública no explica el método de entrada inicial, la cuenta o vulnerabilidad utilizada, si se extrajo información de forma comprobada ni quién fue el responsable. Por ello, esta entrada se basa en el acceso no autorizado a la red que sí está confirmado y no presenta como conclusiones oficiales del proveedor las afirmaciones de una página secundaria sobre ransomware o sobre el responsable.

La documentación presentada ante las autoridades estatales identifica datos que variaban según la persona: nombres, números de Seguro Social y números de licencia de conducir o de identificación estatal. En el ejemplar de la carta publicado se ha ocultado el campo que detalla los datos específicos del destinatario.

Un nombre combinado con un SSN y un número de identificación oficial puede aumentar el riesgo de suplantación de identidad, apertura fraudulenta de nuevas cuentas y ataques de phishing convincentes. Si recibió una notificación, puede considerar la posibilidad de supervisar sus informes crediticios, activar una alerta de fraude o un bloqueo de crédito y revisar los cambios de dirección o las aperturas de nuevas cuentas. Este registro no presupone que todos los datos mencionados estuvieran involucrados en el caso de cada persona.

El incidente afectó a la red de un proveedor de servicios sanitarios y se notificó al HHS como un suceso que involucraba información médica protegida. Sin embargo, el ejemplar de la carta publicado no identifica tipos concretos de datos de salud, como diagnósticos, tratamientos, medicamentos, datos de seguros o números de historia clínica. Por tanto, esas categorías de datos no se añaden sin pruebas.

Alguien que supiera que una persona tiene relación con una clínica de AllerVie podría elaborar un mensaje falso sobre una cita, un resultado, una factura o un tratamiento. Si recibió una notificación, debe verificar las comunicaciones sanitarias inesperadas a través de un número de teléfono conocido de la clínica o del portal del paciente. Un mensaje no es legítimo solo porque incluya el nombre real de una clínica o de una persona.

La cifra de 80 521 corresponde al número de personas afectadas notificado al HHS/OCR y se utiliza como el total oficial actual para todo el país. Este total oficial representa el alcance notificado del incidente; no significa que todas las categorías de datos indicadas correspondieran a todas las personas. Para confirmar el alcance específico de cada caso, debe consultarse la notificación recibida por esa persona.

Las cifras de residentes comunicadas en Massachusetts, New Hampshire, Rhode Island u otros estados son subconjuntos de esta población nacional y no se suman de nuevo. Las clínicas de Springdale, Kenwood, West Chester, Clifton y Anderson mencionadas en la carta forman parte del mismo incidente de AllerVie y no se separan en entradas duplicadas de brechas de seguridad.

AllerVie declaró que restableció las contraseñas, notificó a las autoridades policiales, llevó a cabo una investigación exhaustiva y revisó sus políticas y procedimientos de protección de datos. Organizó 24 meses de supervisión crediticia y protección de identidad gratuitas a través de Cyberscout; el ejemplar de la carta publicado concede a los destinatarios 90 días desde la fecha de la carta para inscribirse.

Si recibió una notificación, debe basarse en los datos indicados en su propia carta y considerar un bloqueo de crédito, una alerta de fraude y la supervisión de nuevas cuentas si estuvieron involucrados un SSN o un documento de identificación oficial. La línea oficial 833-877-1419 atiende de lunes a viernes, de 8:00 a. m. a 8:00 p. m., hora del Este. No comparta una contraseña, su SSN completo, un pago ni un código de un solo uso en respuesta a un mensaje inesperado.