Filtración de datos de Brevard Skin and Cancer Center de 2025

La principal fuente sobre el incidente es el aviso público de seguridad de Brevard. Aunque la página original de la empresa devolvía un error 404 cuando se revisó, una copia conservada en PDF confirma el descubrimiento del 14 de octubre, el acceso en torno al 28 de septiembre, las categorías de datos, la notificación al FBI y la línea de asistencia de IDX. El texto señala expresamente que se extrajeron ciertos datos de los sistemas.

La segunda fuente es el registro oficial de HHS/OCR, que recoge 54 570 personas. Una carta a los consumidores del 26 de diciembre, publicada por la Fiscalía General de Massachusetts, respalda de forma independiente los tipos de datos de los pacientes, las fechas del incidente y los 24 meses de servicios de IDX. Los textos oficiales no confirman el nombre de un atacante ni un volumen de 1,8 terabytes, por lo que se excluyen esas afirmaciones de fuentes secundarias.

Tras descubrir el incidente el 14 de octubre, Brevard contrató a expertos en ciberseguridad, tomó medidas para contenerlo y comenzó a corregir los problemas de su entorno informático. La investigación determinó que un tercero no autorizado había accedido a algunos sistemas de datos el 28 de septiembre o en fechas cercanas. La empresa indicó que seguía analizando el material para identificar a las personas afectadas y los tipos de información a los que se había accedido.

El texto público no revela cuándo terminó exactamente el acceso, el método de acceso inicial ni la identidad del tercero no autorizado. Sin embargo, sí confirma la extracción de ciertos datos, lo que distingue este incidente de uno descrito únicamente como un posible acceso. El aviso también señala que el incidente no interrumpió los servicios y que no interferiría con la atención a los pacientes.

En el caso de pacientes actuales o anteriores, los datos potencialmente involucrados son el nombre completo, la fecha de nacimiento, el domicilio, el número de Seguro Social, el número de teléfono, el diagnóstico y la información clínica, la dirección de correo electrónico y la información de facturación y reclamaciones al seguro. La carta a los consumidores de Massachusetts enumera las mismas categorías de datos de pacientes. No debe suponerse que todos esos datos estuvieran presentes para cada persona.

En el caso de empleados actuales o anteriores, el posible alcance incluye el nombre completo, la fecha de nacimiento, el domicilio, el SSN, el número de teléfono, una afección de salud indicada en un formulario FMLA y la dirección de correo electrónico. Por separado, Brevard señaló que no se creía que la información incluyera números de cuentas financieras, información bancaria ni datos de tarjetas de crédito o débito; esos datos excluidos no se presentan aquí como información expuesta.

54 570 es el total oficial actual de personas publicado en el portal de HHS/OCR el 12 de diciembre de 2025. La cifra de 53 255 aparece en una página secundaria sobre el incidente, publicada por primera vez el 10 de diciembre, dos días antes de la entrada de HHS. El número de personas afectadas o de registros publicado por la fuente oficial representa el alcance declarado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a cada persona.

Las dos cifras no se suman ni dan lugar a entradas separadas de filtración; son mediciones del alcance del mismo incidente en distintos momentos. Se utiliza el total oficial actual de HHS de 54 570 personas.

La combinación del nombre, la fecha de nacimiento, el domicilio y el SSN puede aumentar el riesgo de suplantación de identidad, apertura fraudulenta de cuentas, fraude fiscal o fraude relacionado con prestaciones. Los datos de diagnóstico, atención clínica, facturación y reclamaciones al seguro pueden facilitar la creación de mensajes falsos y convincentes sobre atención médica. Los destinatarios deben revisar sus informes crediticios, así como los documentos de explicación de beneficios y las facturas médicas inesperadas.

Un mensaje que parezca proceder de Brevard o de un empleado conocido de la clínica no es automáticamente legítimo, aunque mencione un diagnóstico real o un detalle de facturación. Utilice el sitio web o el número de teléfono conocido del centro en lugar de un enlace incluido en el mensaje, y no comparta una contraseña, su SSN completo ni un código de un solo uso, y no envíe pagos. Si detecta actividad crediticia que no reconoce, puede ser conveniente activar una alerta de fraude o una congelación gratuita del crédito.

Brevard afirmó que contuvo el incidente y protegió su entorno, trabajó con equipos de IT y ciberseguridad para revisar los sistemas afectados, evaluó la integridad de los datos e implementó medidas de seguridad reforzadas. Notificó el incidente al FBI y a los organismos reguladores pertinentes. La empresa también revisó sus políticas y procedimientos de privacidad y seguridad mientras consideraba medidas adicionales de protección de la red.

A las personas afectadas se les ofrecieron 24 meses de supervisión del crédito en las tres agencias de información crediticia, CyberScan, recuperación de identidad y otras medidas de protección a través de IDX. El aviso general indica el 13 de febrero como fecha límite de inscripción, mientras que la carta individual posterior de Massachusetts indica el 26 de marzo de 2026, por lo que los destinatarios deben seguir las indicaciones de su propia carta. La línea 1-833-779-4803 está disponible los días laborables de 9:00 a.m. a 9:00 p.m., hora del Este.