Filtración de datos de Ascension de 2024 vinculada a un socio (437 000 afectados)

La notificación regulatoria de Ascension indica que se divulgó por error información de pacientes a un antiguo socio comercial y que probablemente fue robada debido a una vulnerabilidad en un software de terceros utilizado por ese socio. La investigación llegó a esta conclusión el 21 de enero de 2025.

El registro de HHS OCR vincula a Ascension Health, el total de 437 329 personas y la fecha de notificación del 28 de abril de 2025 en un mismo suceso. La cobertura independiente especializada en seguridad del sector sanitario corrobora la cronología, los campos de datos afectados y el hecho de que los sistemas de la propia Ascension no se vieron afectados.

Ascension determinó que había divulgado por error cierta información de pacientes al antiguo socio comercial. Una persona no autorizada aprovechó una vulnerabilidad en un software de terceros utilizado por el socio y probablemente obtuvo los datos.

El aviso público no identifica al antiguo socio, no nombra el producto vulnerable, no indica cuándo comenzó el acceso no autorizado ni identifica al responsable. Ascension afirma expresamente que su propia red y sus sistemas no fueron vulnerados en este incidente.

Según la persona, la información podría haber incluido nombres, direcciones, números de teléfono, direcciones de correo electrónico, fechas de nacimiento, raza, género y números del Seguro Social. Las categorías divulgadas no correspondían necesariamente a todas las personas afectadas.

Los campos de datos clínicos podrían haber incluido lugares de atención, nombres de médicos, fechas de ingreso y alta, códigos de diagnóstico y facturación, números de historia clínica y nombres de compañías de seguros. No se incluyen contraseñas, tarjetas de pago ni información de cuentas bancarias porque el aviso oficial no menciona esos datos.

Un número del Seguro Social combinado con datos de contacto y de nacimiento puede aumentar el riesgo de robo de identidad, solicitudes fraudulentas de apertura de cuentas y estafas dirigidas. Como muchos de estos datos no cambian, puede ser conveniente mantener la vigilancia durante un periodo más largo.

Alguien que conozca datos reales sobre una visita al hospital, un médico, un diagnóstico o un seguro puede crear un mensaje convincente en el que afirme representar a Ascension, a una clínica o a una aseguradora. Que los datos médicos sean correctos no demuestra que el remitente esté autorizado.

Tras conocer el incidente, Ascension inició una investigación, revisó sus procesos de intercambio de información y afirmó que estaba trabajando para implementar medidas de protección adicionales. Se enviaron notificaciones por escrito a las personas afectadas.

La organización ofreció a los destinatarios que reunían los requisitos dos años de servicios de supervisión crediticia, asesoramiento en casos de fraude y recuperación tras el robo de identidad. El aviso público no afirma que se haya identificado de forma concluyente un uso indebido vinculado al incidente.

Si recibe una notificación, revise con regularidad sus informes de crédito, las consultas relacionadas con la apertura de nuevas cuentas, los documentos explicativos del seguro médico y las facturas médicas para detectar servicios o actividades que no reconozca. Informe sin demora a las organizaciones correspondientes de cualquier registro sospechoso.

No facilite su número del Seguro Social, contraseña, datos de pago ni códigos de verificación en respuesta a un mensaje inesperado que afirme proceder de Ascension, de un médico o de una aseguradora. Verifique la solicitud a través de un canal oficial que haya localizado por su cuenta, en lugar de utilizar un enlace o un número incluido en el mensaje.