Brecha de datos de BAYADA Home Health Care de 2026

La fuente principal sobre el incidente es el aviso de tres páginas de BAYADA sobre un «incidente reciente relacionado con la privacidad de los datos», enlazado desde su propio sitio web. El aviso describe directamente el período de acceso del actor no autorizado, los sistemas y datos afectados, la naturaleza de la investigación, las categorías de información identificadas inicialmente, las comunicaciones a organismos gubernamentales y las medidas de protección recomendadas por la organización.

La segunda fuente oficial es el registro BR-0005185 de la Fiscalía General de Texas. En él figuran la razón social BAYADA Home Health Care, Inc. y la dirección de Pennsauken, y se publican las fechas del incidente, del 18 de febrero al 2 de marzo, el total nacional de 550 164 personas, las 1 270 personas de Texas incluidas en ese total, las categorías definitivas de información y la notificación a los consumidores por correo postal y mediante el sitio web. La coincidencia exacta de la organización, la dirección y el período del incidente demuestra que ambas fuentes describen el mismo suceso.

BAYADA afirma que tuvo conocimiento por primera vez de un incidente de ciberseguridad el 2 de marzo de 2026. La investigación forense posterior determinó que un actor no autorizado accedió a determinados sistemas y datos de BAYADA entre el 18 de febrero y el 2 de marzo. El aviso público no identifica la cuenta, la aplicación, la vulnerabilidad ni el método de acceso inicial utilizados para entrar en el entorno.

Por lo tanto, no debe suponerse que el incidente implicó ransomware, phishing, robo de credenciales o la explotación de un fallo de software concreto. BAYADA confirma el acceso no autorizado a sistemas y datos, pero no identifica al actor, no indica si se transfirieron datos fuera del entorno, no describe ninguna exigencia de rescate ni confirma que se publicaran datos en internet. Afirma que, a la fecha del aviso, no había indicios de robo de identidad ni de fraude relacionados con el incidente; esa observación, limitada a ese momento, no elimina los riesgos posteriores.

El aviso público inicial de BAYADA indica que los datos afectados podrían incluir nombres, fechas de nacimiento, información sobre diagnósticos y tratamientos médicos o físicos, información sobre proveedores de servicios de salud, información sobre planes de seguro de salud, información sobre prescripciones, ingresos y altas hospitalarias, información sobre discapacidades y números del Seguro Social. En ese momento, la organización señaló que la revisión de los datos seguía en curso y que los campos afectados podían variar de una persona a otra.

La entrada posterior de Texas enumera como categorías confirmadas los nombres, los números del Seguro Social (SSNs), los números de licencia de conducir, la información financiera, la información médica y la información sobre seguros de salud. Consideradas conjuntamente, las fuentes indican que la revisión posterior aclaró el alcance al menos para algunas personas, pero no debe suponerse que todos los campos se vieron afectados en el caso de cada persona. La carta de notificación recibida por cada destinatario es la fuente más directa para conocer qué datos concretos suyos se vieron afectados.

El registro BR-0005185 de la Fiscalía General de Texas ofrece un total nacional exacto de 550 164 personas, de las cuales 1 270 son de Texas. La cifra de Texas está incluida en el total nacional y no debe sumarse de nuevo. La entrada del portal figura como publicada el 21 de julio de 2026 y presenta el resultado sobre el conjunto de personas afectadas tras la revisión de datos que el primer aviso de BAYADA describía como aún en curso.

El aviso público inicial de la empresa no indicaba un total porque la revisión de los datos realizada por terceros todavía estaba en curso. Por tanto, prevalece la cifra exacta posterior del registro de Texas. Este incidente es distinto de otro comunicado anteriormente por BAYADA y vinculado a un proveedor diferente, Doctor Alliance, cuyo período fue del 31 de octubre al 17 de noviembre de 2025; no deben sumarse las poblaciones afectadas por ambos incidentes.

BAYADA afirma que activó sus protocolos de respuesta a incidentes, inició una investigación forense con especialistas externos y trabajó para confirmar el alcance y proteger sus sistemas. La organización comunicó el incidente a los organismos gubernamentales pertinentes, incluidas las autoridades federales encargadas de hacer cumplir la ley y el Departamento de Salud y Servicios Humanos de Estados Unidos, e indicó que estaba revisando las medidas de seguridad, las políticas y los procedimientos existentes para reforzar la protección.

El aviso inicial indica que las notificaciones individuales se enviarían una vez finalizada la revisión de los datos; el registro posterior de Texas confirma que se notificó a los consumidores mediante un sitio web y el correo postal de Estados Unidos. El aviso público no identifica ninguna oferta concreta de supervisión crediticia o protección de la identidad. Facilita una línea de asistencia en el 1-800-305-3000, disponible todos los días de 8 a. m. a 7 p. m., hora del este, y una dirección postal en Pennsauken para el responsable de privacidad de BAYADA.

Si ha recibido una notificación, consulte su propia carta para saber qué campos le afectan y revise los documentos de explicación de beneficios de su seguro de salud, los portales de pacientes, los movimientos bancarios y de tarjetas y los informes de crédito gratuitos para detectar transacciones o reclamaciones que no reconozca. Si se vieron afectados su SSN o su licencia de conducir, considere solicitar un bloqueo de crédito gratuito o una alerta de fraude; si se vio afectada información de cuentas financieras, contacte con la entidad correspondiente a través de un canal oficial conocido.

Verifique por su cuenta los mensajes inesperados que mencionen a BAYADA, una aseguradora, un banco o un organismo gubernamental. Un mensaje que contenga datos reales sobre su atención médica no es necesariamente legítimo; no revele contraseñas, su SSN, su número de afiliado al seguro ni códigos de un solo uso. Comunique las reclamaciones médicas sospechosas a la aseguradora, la actividad financiera a la entidad correspondiente y los posibles usos indebidos de su identidad a través de IdentityTheft.gov y, cuando corresponda, a las autoridades encargadas de hacer cumplir la ley.