Brecha de datos de ACLA de 2025 (169 626 personas afectadas)

El aviso oficial de ACLA señala que la investigación encontró información que sugiere que un actor desconocido podría haber accedido a la red y descargado ciertos archivos sin autorización. La revisión de los datos afectados concluyó el 27 de abril de 2026.

El registro de HHS OCR vincula en un mismo suceso a la organización, un proveedor de atención sanitaria de Tennessee, el total de 169 626 personas y la fecha de notificación del 23 de junio de 2026. La cobertura independiente especializada en seguridad del sector sanitario corrobora la cronología y los tipos de información divulgados.

Tras detectar una actividad inusual en la red el 1 de diciembre, ACLA tomó medidas para proteger sus sistemas. La investigación indicó que una persona desconocida podría haber accedido a la red y descargado ciertos archivos.

Las fuentes públicas no revelan cuándo comenzó el acceso, cuánto duró, qué método o vulnerabilidad se utilizó ni la identidad del responsable. Por tanto, el incidente no se atribuye a ningún grupo de ransomware cuya implicación no esté confirmada ni a una técnica específica.

Según la persona, la información afectada podría haber incluido nombres, fechas de nacimiento, números del Seguro Social y números de identificación fiscal. El aviso oficial señala que las categorías divulgadas no eran las mismas para todas las personas.

Los datos relacionados con la salud podrían haber incluido fechas de atención, nombres de proveedores de atención médica, información sobre el estado de salud mental o física, detalles de tratamientos o procedimientos, diagnósticos e información clínica, historiales médicos, números de cuenta de pacientes y números de historia clínica. Las direcciones de correo electrónico y las contraseñas no forman parte del alcance confirmado.

Un número del Seguro Social o de identificación fiscal, combinado con un nombre y una fecha de nacimiento, puede aumentar el riesgo de suplantación de identidad, solicitudes fraudulentas de apertura de cuentas y fraude fiscal. Puede ser conveniente mantener una vigilancia a largo plazo, ya que estos identificadores son difíciles de cambiar.

Una persona que conozca datos reales sobre una fecha de atención, un proveedor, un diagnóstico o los detalles de un tratamiento puede crear un mensaje convincente en el que afirme representar a ACLA, a un hospital o a una aseguradora. Que los datos médicos sean correctos no demuestra que el remitente esté autorizado.

ACLA trabajó con especialistas externos en ciberseguridad para proteger la red y determinar el alcance del incidente. La organización también afirmó haber implementado medidas de protección adicionales destinadas a reducir el riesgo de que se produzca un suceso similar.

El 23 de junio de 2026 se enviaron por correo postal cartas de notificación a las personas potencialmente afectadas. A los destinatarios que cumplían los requisitos se les ofrecieron servicios gratuitos de protección de la identidad a través de Epiq. El aviso oficial señala que ACLA no tenía conocimiento de ningún uso indebido relacionado con el incidente.

Si recibe una notificación, revise periódicamente sus informes de crédito, sus cuentas financieras y las consultas relacionadas con la apertura de nuevas cuentas para detectar actividades que no reconozca. Las transacciones o cuentas sospechosas deben notificarse a la institución financiera correspondiente y, cuando proceda, a las autoridades.

Revise también las facturas médicas y las explicaciones de beneficios del seguro para detectar servicios, proveedores o reclamaciones que no reconozca. No comparta ningún número de identificación, contraseña, dato de pago o código de verificación en respuesta a un mensaje inesperado que afirme proceder de ACLA o de otra organización sanitaria.