Filtración de datos de Bradford Health Services de 2023

La fuente principal es la página de aviso sobre el incidente de seguridad de los datos que Bradford Health Services publicó en su propio dominio el 30 de mayo de 2025. El proveedor confirma el descubrimiento del 8 de diciembre, la investigación con especialistas externos en ciberseguridad, el posible acceso y la obtención no autorizados de archivos, la finalización de la revisión el 15 de mayo de 2025 y las categorías de datos comunicadas.

La segunda fuente es la notificación oficial presentada ante el fiscal general de Maine, que actualiza el número de personas afectadas en todo el país a 22 465. El portal oficial de la Oficina de Derechos Civiles del HHS contiene un registro anterior, del 6 de febrero de 2024, de un incidente de intrusión informática/IT en un servidor de red, con 28 543 personas. La cronología muestra una estimación inicial del alcance y otra posterior para el mismo suceso, no dos filtraciones distintas.

Bradford Health identificó actividad inusual en su red el 8 de diciembre e inició una investigación con especialistas externos en ciberseguridad. La investigación determinó que era posible que se hubiera accedido a ciertos archivos de la red y que estos se hubieran obtenido sin autorización. A continuación, el proveedor realizó una revisión exhaustiva para identificar los datos y vincularlos con las personas correspondientes.

La revisión de los archivos concluyó el 15 de mayo de 2025, y las notificaciones escritas se enviaron por correo postal de Estados Unidos el 30 de mayo. El proveedor afirmó que no tenía pruebas de que se hubiera hecho un uso indebido de la información potencialmente involucrada.

Los datos de identidad variaban según la persona e incluían nombres, números de licencia de conducir, fechas de nacimiento, números de pasaporte y números de Seguro Social. También pudieron estar involucrados números de cuentas financieras y de tarjetas de pago, junto con un medio de acceso a la cuenta. Esta ficha no presupone que todas las categorías se vieran afectadas para cada persona que recibió una notificación.

Un SSN combinado con una fecha de nacimiento y datos de un documento oficial de identidad o de un pasaporte puede aumentar el riesgo de suplantación de identidad y de apertura fraudulenta de cuentas nuevas. Si sus datos de cuentas financieras o de acceso estuvieron involucrados, puede comprobar las transacciones que no reconozca y los cambios de beneficiario, dirección o datos de contacto a través de un canal conocido de su banco. Esta categoría amplia no demuestra que hubiera una contraseña involucrada.

Bradford Health describe la información médica con ejemplos que incluyen detalles de diagnósticos y tratamientos, nombres de médicos y números de historia clínica. También pudo estar involucrada información del seguro médico. Estas categorías son sensibles en el ámbito de la salud conductual, pero el proveedor no revela públicamente la afección, el tratamiento ni el subtipo de seguro específicos de ninguna persona.

Un mensaje inesperado que contenga el nombre real de un médico, un diagnóstico o un detalle del tratamiento puede resultar convincente. Si recibió una notificación, puede revisar los documentos de explicación de beneficios, las historias clínicas y la actividad del portal del paciente, y verificar los servicios o cambios que no reconozca llamando a un número oficial del proveedor. No envíe información de salud sensible en una respuesta ni a través de un enlace no solicitado.

La cifra de 28 543 personas comunicada al HHS el 6 de febrero de 2024 corresponde a una notificación sanitaria inicial realizada aproximadamente dos meses después del descubrimiento. La revisión de archivos del proveedor continuó hasta el 15 de mayo de 2025, y la notificación posterior presentada en Maine registra 22 465 personas en todo el país. La cifra más reciente, obtenida tras completar la revisión, sustituye a la del informe preliminar; las dos cifras no deben sumarse.

El número de personas afectadas o de registros publicado por la fuente oficial representa el alcance comunicado del incidente. No significa que todas las categorías de datos comunicadas correspondieran a cada persona. Un total final menor no invalida el incidente; una revisión puede eliminar registros duplicados, ajenos al alcance del incidente o que no requieren notificación, e identificar a las personas a las que realmente se debe notificar.

Bradford Health afirmó que había implementado medidas adicionales para mejorar la seguridad de la red y reducir el riesgo de un suceso similar, que había denunciado el incidente ante las autoridades policiales y que había establecido un centro de atención telefónica gratuito en el 1-877-670-4122. Su página indica que había representantes disponibles de lunes a viernes, de 7:00 a. m. a 7:00 p. m., hora central, para responder preguntas sobre el incidente.

Si recibió una notificación, debe basarse en los datos indicados en su propia carta y considerar la congelación del crédito, una alerta de fraude y la vigilancia de nuevas cuentas si se trata de un SSN o de un documento oficial de identidad; la revisión de transacciones si se trata de datos financieros; y la revisión de beneficios e historias clínicas si se trata de datos de salud. No facilite una contraseña, su SSN completo, un pago ni un código de un solo uso en respuesta a un mensaje inesperado que utilice el nombre de Bradford.