Filtración de datos de Centers Laboratory en 2025

Centers afirmó en su propio aviso público que un actor no autorizado obtuvo acceso limitado a los datos de sus sistemas y copió información. Especialistas externos en análisis forense determinaron que el acceso se produjo entre el 9 y el 14 de agosto. Esta formulación describe una obtención y exfiltración de datos confirmadas por la organización, y no solo la posibilidad de que se hubiera consultado información.

HHS OCR clasifica el suceso como un incidente de hackeo o de tecnologías de la información (IT), sitúa la información en un servidor de red e identifica a la entidad como un proveedor de atención sanitaria. HIPAA Journal comparó la comunicación oficial con el registro federal y corroboró la copia de archivos de pacientes, las categorías de datos y el total de 542 377 personas. Las fuentes no atribuyen el ataque a ningún grupo de ransomware ni a ningún grupo de amenazas identificado por su nombre.

La fecha del incidente se basa en la primera actividad técnica que puede verificarse mediante fuentes públicas. El tercero no autorizado permaneció en determinados sistemas hasta el 14 de agosto; Centers detectó actividad sospechosa el 25 de agosto, aisló los sistemas afectados y tomó medidas para impedir nuevos accesos. La fecha de detección no sustituye a la fecha anterior de inicio.

A continuación, la organización recurrió a especialistas externos en revisión de datos para determinar si los archivos copiados contenían información sensible y a quién correspondía. Tras una validación interna exhaustiva de los resultados, se enviaron cartas de notificación por correo postal. La entrada de HHS muestra el 18 de junio de 2026 como fecha de presentación, y HIPAA Journal publicó el alcance completo en julio.

Los archivos podían contener un nombre junto con una fecha de nacimiento y un número de la Seguridad Social. Entre los posibles datos identificativos divulgados también figuraban números de permisos de conducir, de documentos de identificación estatales y de pasaportes. Los recuentos de personas, los campos de datos y las afirmaciones de actores de amenazas que no se hayan verificado no se consideran parte del alcance público del incidente.

Los números de la Seguridad Social, de documentos de identificación oficiales y de pasaportes son identificadores duraderos. Su combinación con nombres y fechas de nacimiento puede aumentar el riesgo de apertura fraudulenta de cuentas, suplantación de identidad o phishing dirigido. Las fuentes no informan de ningún caso conocido de uso indebido, pero la copia confirmada de los datos implica que el riesgo puede persistir en el futuro.

El conjunto de datos copiado contenía información médica y de seguros de salud. El aviso oficial no detalló por separado campos más específicos, como diagnósticos, resultados de pruebas, tratamientos, números de pólizas o identificadores de asegurados.

Los datos de laboratorio y de seguros pueden revelar la relación asistencial de un paciente o circunstancias sensibles relacionadas con su salud. Combinados con datos identificativos, pueden facilitar la suplantación de identidad en el ámbito médico, las reclamaciones fraudulentas a aseguradoras o fraudes en los que se suplante a un proveedor legítimo. Esto no significa que ambas categorías estuvieran presentes en los datos de todas las víctimas.

El número de personas o registros afectados que publica la fuente oficial representa el alcance comunicado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a todas las personas. Este es el alcance de la información sanitaria protegida que Centers Lab NJ LLC comunicó a la autoridad federal. La cifra no se reparte entre las organizaciones clientes, no se repite para cada categoría de datos ni se sustituye por la expresión redondeada 542K de un titular de prensa.

El incidente afectó a pacientes de los proveedores de atención sanitaria que son clientes del laboratorio, pero las fuentes no publican subtotales verificados por cliente. Crear incidentes separados para cada cliente o dividir la cifra basándose en suposiciones podría generar un doble recuento. Esta entrada de LeakData representa el único incidente del laboratorio correspondiente al mismo periodo de acceso y al mismo informe federal.

Centers implantó medidas adicionales de seguridad de los datos; HIPAA Journal informó de que se ofreció a las personas afectadas entre 12 y 24 meses de servicios gratuitos de supervisión crediticia y protección frente al robo de identidad, según el alcance de la afectación en cada caso. Los destinatarios de las notificaciones deben seguir las instrucciones de inscripción, revisar sus informes de crédito y la actividad de sus cuentas, y considerar la posibilidad de solicitar un bloqueo de seguridad de su expediente crediticio si se vio afectado algún identificador sensible.

También deben revisar los documentos explicativos de su seguro de salud y sus historiales médicos para detectar pruebas, servicios, proveedores o reclamaciones que no reconozcan. Las solicitudes inesperadas de pago o de información realizadas en nombre de Centers Laboratory deben verificarse a través del sitio web oficial o de un número de teléfono conocido.