Brecha de datos de Coastal Carolina Health Care de 2025

La prueba principal es una notificación del 24 de marzo de 2026 enviada al fiscal general de Nuevo Hampshire por la representación legal de Coastal Carolina Health Care. En ella se indica que CCHC detectó el 28 de marzo de 2025 una actividad inusual que impedía el acceso a determinados sistemas e inició una investigación con una empresa independiente de ciberseguridad. La revisión no se limitó a señalar un posible acceso, sino que determinó que se había accedido a cierta información y que esta se había obtenido sin autorización.

La entrada de HHS OCR clasifica a la organización como proveedor de servicios de salud, categoriza el suceso como un incidente de piratería informática/IT e identifica un servidor de red como la ubicación de la información. Su total de 110 304 personas aporta el alcance notificado al organismo regulador a nivel nacional, que no se indica en la carta presentada ante las autoridades estatales. SecurityWeek informó de forma independiente sobre el incidente de CCHC al comparar el total de HHS con la documentación presentada a nivel estatal.

La investigación determinó que un actor no identificado accedió a información personal y de salud, y la obtuvo, entre el 21 y el 27 de marzo de 2025. La fecha del incidente se basa en la actividad técnica más temprana que puede verificarse a partir de fuentes públicas. CCHC detectó la actividad inusual el 28 de marzo, protegió su red e inició una investigación forense para determinar la naturaleza del suceso.

Después, la organización recurrió a un servicio externo de revisión para identificar el conjunto de datos afectado y las personas a las que debía notificar. CCHC confirmó el alcance del impacto y obtuvo información de contacto suficiente el 26 de febrero de 2026. Las cartas dirigidas a los consumidores se enviaron por correo el 23 de marzo de 2026; el intervalo de aproximadamente un año corresponde a la revisión de archivos e identidades, no a la duración del acceso del actor.

La correspondencia con las autoridades reguladoras describe los datos afectados como información personal e información de salud protegida. En el caso de los residentes de Nuevo Hampshire, señala expresamente que los nombres podrían haber figurado junto con los números del Seguro Social. CCHC también ofreció servicios específicos de protección de la identidad a las personas cuyos números del Seguro Social o números de licencia de conducir e identificación estatal se vieron afectados.

Los recuentos de personas, los campos de datos y las afirmaciones de actores de amenazas se excluyen del alcance público del incidente si no se han verificado. Tampoco se da por hecho que todos los campos estuvieran presentes para las 110 304 personas.

El texto oficial indica que se accedió a información sensible y que esta se obtuvo, no simplemente que alguien pudiera haberla visto. Este hallazgo aporta un sólido respaldo forense a la posibilidad de que los datos quedaran bajo el control del actor y distingue el incidente de una simple interrupción del sistema. Sin embargo, la documentación presentada no confirma que los archivos se hicieran públicos ni que se vendieran todos los campos.

Al enviar las notificaciones, CCHC afirmó que no tenía pruebas de que se hubiera hecho un uso indebido de los datos implicados en el incidente. La ausencia de un uso indebido conocido no elimina los riesgos futuros asociados a la información de identidad y de salud obtenida. Los recuentos de personas, los campos de datos y las afirmaciones de actores de amenazas se excluyen del alcance público del incidente si no se han verificado.

El recuento de personas afectadas o de registros publicado por la fuente oficial representa el alcance comunicado del incidente. No significa que todas las categorías de datos divulgadas se aplicaran a cada persona. Los 34 residentes de Nuevo Hampshire mencionados en la carta dirigida al organismo regulador estatal constituyen un pequeño subconjunto estatal de ese total nacional, no un incidente independiente ni una cifra adicional de víctimas. Ese subconjunto no se suma a la cifra nacional.

El total de personas no es un recuento de archivos obtenidos ni de campos de datos. Los números del Seguro Social, de licencia de conducir y de identificación estatal pueden corresponder únicamente a determinados subgrupos, cuyo tamaño no se ha divulgado públicamente.

CCHC ofreció a las personas cuyos números del Seguro Social o números de licencia de conducir e identificación estatal se vieron afectados 12 meses gratuitos de monitoreo crediticio, recuperación de la identidad y seguro contra el robo de identidad a través de Cyberscout. Si recibió una notificación, respete el plazo y siga las instrucciones de activación indicados en su carta. La organización también notificó al FBI e implementó controles de seguridad adicionales.

Revise periódicamente sus informes crediticios, sus cuentas financieras y los documentos explicativos de las prestaciones de su seguro de salud para detectar transacciones, servicios o reclamaciones que no reconozca. Confirme a través de un canal oficial conocido cualquier mensaje inesperado de pago o verificación que se presente en nombre de CCHC o de un proveedor de servicios de salud.