Brecha de datos de Cary Pediatric Center de 2025

La fuente principal es el PDF «Aviso de incidente de seguridad de los datos», publicado en el sitio web de la propia organización. Describe la detección del 19 de septiembre, las medidas de contención en la red, el análisis forense especializado, el alcance limitado a las grabaciones de llamadas, las historias clínicas electrónicas que no se vieron afectadas, los posibles campos de datos implicados, los 12 meses de servicios de protección y la línea de asistencia 855-522-4713.

La segunda fuente es la entrada oficial de HHS/OCR con fecha del 17 de noviembre, que recoge 25 784 personas. La página de inicio actual de la organización confirma que se trata de la misma entidad y del mismo dominio, y enlaza directamente al PDF oficial del incidente bajo el texto «Aviso de incidente de datos». Esto permite contrastar el suceso, el total de personas y la identidad de la organización mediante dos registros de fuentes primarias.

Cary Pediatric detectó en torno al 19 de septiembre que había sido objeto de un incidente de seguridad de la red. Cuando un tercero no autorizado intentó infiltrarse en el entorno de red, la organización protegió la red y contrató a una empresa especializada en análisis forense y respuesta a incidentes para determinar el alcance del posible acceso no autorizado. El documento público no revela el método inicial ni la identidad del responsable.

La investigación determinó que cierta información personal podría haberse visto comprometida. Indica expresamente que los datos sensibles en cuestión se limitaban a grabaciones de llamadas entre los pacientes y el centro, y que las historias clínicas electrónicas no se vieron afectadas. Por tanto, esta ficha no da por hecho que los expedientes generales de los pacientes o toda la base de datos EMR quedaran expuestos.

El encabezado del PDF indica «19 de febrero de 2025», mientras que el texto sobre el incidente sitúa su detección el 19 de septiembre de 2025. Dado que la fecha del encabezado es anterior al suceso, no permite establecer una cronología coherente.

Se utiliza la declaración de la organización del 19 de septiembre de 2025 para establecer la fecha del incidente y de su detección, mientras que la entrada de HHS/OCR del 17 de noviembre de 2025 se utiliza para el recuento oficial de personas y la fase de notificación al regulador. Este criterio emplea fechas verificables sin ocultar la clara incoherencia del documento. No se introduce ninguna fecha adicional ni el año 2026 sin pruebas.

El aviso oficial enumera los siguientes campos potencialmente expuestos: nombres, fechas de nacimiento e información de salud protegida. Indica que los tipos de datos variaban según la persona y que no todas tuvieron expuestos todos los elementos enumerados. La información de salud protegida (PHI) no se desglosa en campos más específicos de diagnóstico, medicación, procedimientos, seguros o pagos, por lo que esta ficha no hace suposiciones sobre esos detalles.

El soporte afectado fueron las grabaciones de llamadas telefónicas. La información que pudo haberse mencionado durante una llamada no equivale a toda la información almacenada en una historia clínica electrónica. Por ello, las categorías de datos se limitan a los nombres, las fechas de nacimiento y la PHI, tal como se describen en el aviso oficial, y esta ficha no clasifica las historias clínicas electrónicas como afectadas.

25 784 es el número de personas afectadas publicado en el portal de HHS/OCR; no es el número de grabaciones de audio, llamadas o archivos. El número de personas o registros afectados publicado por la fuente oficial representa el alcance declarado del incidente. No significa que todas las categorías de datos indicadas correspondieran a todas las personas.

El 17 de noviembre que figura en HHS es la fecha de notificación al regulador, no el día del incidente. La organización no publica por separado el número de destinatarios de notificaciones enviadas por correo postal ni el de llamadas grabadas.

Cary Pediatric afirmó que protegió la red, investigó con especialistas en IT, revisó y reforzó las medidas de protección técnicas, y dispuso 12 meses gratuitos de supervisión crediticia y protección contra el robo de identidad para todas las personas potencialmente afectadas. En el momento del aviso, indicó que no había recibido informes de uso indebido de la información ni de robo de identidad relacionado con el incidente.

La línea de asistencia 855-522-4713 está disponible de lunes a viernes, de 8:00 a. m. a 8:00 p. m., hora del Este. Como destinatario, debe consultar su propia notificación para conocer el alcance en su caso y las instrucciones de inscripción, y no debe facilitar su fecha de nacimiento, información de salud, contraseña, datos de pago ni códigos de un solo uso en una llamada o un mensaje inesperados. Los registros de salud sospechosos deben verificarse directamente con el centro. Si aparece un mensaje sospechoso o se produce una actividad sospechosa en una cuenta, verifique lo ocurrido a través del canal de contacto oficial actual de la organización, sin utilizar los enlaces del mensaje.