Filtración de datos de American Addiction Centers (422 424 personas)

La empresa tuvo conocimiento de un incidente de ciberseguridad hacia el 26 de septiembre, contrató a expertos externos y avisó a las fuerzas del orden. Para el 3 de octubre, la investigación había determinado que una parte no autorizada había extraído determinados datos de sus sistemas entre el 23 y el 26 de septiembre.

American Addiction Centers no reveló el método de acceso inicial ni ninguna vulnerabilidad explotada. El grupo de ransomware Rhysida se atribuyó la responsabilidad, pero la notificación de la empresa no confirmó la identidad del responsable. Por tanto, el incidente se registra como un caso confirmado de acceso no autorizado y obtención de datos, mientras que la atribución de la autoría sigue sin verificarse.

La notificación individual enumeraba nombres, direcciones, números de teléfono, fechas de nacimiento, números de historia clínica u otros identificadores, números del Seguro Social e información del seguro médico. La combinación de datos variaba según la persona.

La notificación inicial indicaba que la información sobre tratamientos y los datos de tarjetas de pago no se habían visto afectados. Una notificación posterior de un acuerdo de conciliación, autorizada por un tribunal, incluyó la información sobre tratamientos en su definición de la información privada objeto del caso. Los destinatarios deben atenerse a las categorías indicadas en su propia notificación.

Un informe inicial al Departamento de Salud y Servicios Humanos de Estados Unidos indicaba que se habían visto afectados 410 747 pacientes. En una comunicación posterior, presentada el 23 de diciembre de 2024 ante la Fiscalía General de Maine, la empresa informó de que 422 424 personas se habían visto afectadas. Estas cifras no corresponden a incidentes distintos ni deben sumarse; el catálogo utiliza el total comunicado posteriormente para el mismo incidente.

Los números del Seguro Social, combinados con las fechas de nacimiento y las direcciones, pueden facilitar la suplantación de identidad o las solicitudes fraudulentas de apertura de cuentas. La información del seguro médico y los identificadores médicos también pueden utilizarse para presentar solicitudes de reembolso fraudulentas, suplantar la identidad de una persona en el ámbito sanitario y elaborar estafas convincentes adaptadas a cada víctima.

La información de salud relacionada con el tratamiento de las adicciones supone un riesgo adicional y grave para la privacidad. No se debe responder a mensajes amenazantes o de extorsión que hagan referencia a esa información. El contacto con el servicio de asistencia relacionado con el incidente debe realizarse únicamente a través de canales de la organización verificados de forma independiente.

La organización afirmó que había contenido el ataque, colaborado con las fuerzas del orden y especialistas externos en ciberseguridad, e implantado medidas de protección adicionales. Se ofrecieron a las personas afectadas 12 meses de seguimiento crediticio basado en los datos de una sola agencia de información crediticia, un informe crediticio, una puntuación crediticia y asistencia proactiva frente al fraude.

Quienes hayan recibido una notificación pueden activar el servicio gratuito de seguimiento siguiendo las instrucciones verificadas de su carta, revisar sus informes crediticios y considerar la posibilidad de solicitar una congelación del crédito o establecer una alerta de fraude. Cualquier actividad financiera que no reconozcan debe comunicarse directamente a la entidad correspondiente.

Se deben revisar los documentos explicativos del seguro médico, los portales de pacientes y las facturas médicas para detectar servicios que no se hayan recibido. Deben evitarse los enlaces inesperados que afirmen proceder de American Addiction Centers, de un centro de tratamiento afiliado o del proveedor del servicio de seguimiento hasta verificar al remitente a través de un canal de contacto independiente.