Brecha de seguridad de Chord Specialty Dental Partners en 2024

La notificación oficial de Chord, fechada el 14 de marzo de 2025, detalla la fecha del descubrimiento, el período de acceso, el sistema afectado y las categorías de datos. También identifica expresamente a CDHA Management, LLC y Spark DSO, LLC como entidades que operan bajo el nombre comercial de Chord Specialty Dental Partners.

El registro de HHS OCR recoge las mismas denominaciones legales, la misma fecha de notificación y el mismo total de 173 430 personas, y clasifica el suceso como un incidente de intrusión informática/TI relacionado con el correo electrónico. Un registro independiente de incidentes también coincide en el período de acceso, el número total de personas afectadas y las categorías de información comunicadas.

Alrededor del 11 de septiembre de 2024, Chord descubrió actividad sospechosa relacionada con la cuenta de correo electrónico de un empleado. La organización protegió la cuenta y colaboró con especialistas externos para determinar la naturaleza y el alcance del incidente, así como si se había producido alguna otra actividad.

La investigación determinó que una persona no autorizada accedió a varias cuentas durante períodos limitados entre el 19 de agosto y el 25 de septiembre. La notificación oficial no revela el método de acceso inicial, ninguna vulnerabilidad técnica ni la identidad del responsable, por lo que este registro no caracteriza el suceso como un ataque de phishing o ransomware ni como la obra de un grupo concreto.

La notificación oficial indica que los campos de datos variaban de una persona a otra y podrían haber incluido el nombre junto con la dirección, el número de seguridad social, información de la licencia de conducir, datos de cuentas bancarias, datos de tarjetas de pago, la fecha de nacimiento, información médica o información del seguro de salud.

No debe suponerse que la lista completa se aplica a las 173 430 personas. Chord no confirmó que se hubiera extraído información de las cuentas e indicó que no tenía conocimiento de pruebas de un uso indebido de esos datos; aun así, no pudo descartar la posibilidad de que la persona no autorizada hubiera accedido a ellos.

Los nombres, las direcciones, las fechas de nacimiento y los identificadores oficiales pueden combinarse para suplantar identidades, abrir cuentas de forma fraudulenta o formular solicitudes convincentes de verificación de identidad. Que alguien conozca un dato personal real en una llamada o un mensaje inesperados no demuestra que la comunicación sea legítima.

Los datos de cuentas bancarias y tarjetas de pago pueden aumentar el riesgo de transacciones no autorizadas. La información médica y del seguro de salud puede utilizarse para presentar reclamaciones fraudulentas, suplantar a prestadores de servicios de salud o dirigir estafas a personas concretas, por lo que conviene revisar periódicamente los registros financieros y médicos.

Chord afirma que protegió la cuenta en cuestión, llevó a cabo una revisión exhaustiva con especialistas externos en ciberseguridad y examinó la información almacenada en las cuentas para identificar a las personas afectadas. La organización también revisó sus medidas de seguridad y proporcionó formación adicional a sus empleados.

Se enviaron notificaciones a las personas de las que se disponía de una dirección, y a quienes cumplían los requisitos se les ofrecieron servicios de monitoreo crediticio y protección de la identidad. La distinción es importante: la notificación describe un posible acceso y no afirma que se haya confirmado la obtención de datos ni su uso fraudulento.

Quienes reciban una notificación deben revisar los movimientos de sus cuentas bancarias y tarjetas para detectar transacciones que no reconozcan, consultar sus informes de crédito y considerar un bloqueo de crédito o una alerta de fraude cuando corresponda. Cualquier actividad sospechosa debe comunicarse directamente a la entidad financiera correspondiente y a las autoridades.

Las anotaciones inesperadas en los registros médicos, los estados de cuenta del seguro de salud o las solicitudes de pago deben verificarse directamente con el prestador de servicios de salud o la aseguradora. No comparta su número de seguridad social, los datos de su tarjeta, su contraseña ni un código de verificación de un solo uso en respuesta a un correo electrónico, una llamada o un mensaje inesperados.